【緊急企画：今井CTO参戦】会社と自分をどう守る？セキュリティ受難時代の戦略論

高宮さんがこの回を緊急企画として立てたのは、さまざまな企業が攻撃を受け、情報漏洩が相次いでいるからです。免許証やFXのアカウントが漏れ、そこから個人のデスクトップに侵入されるケースまで出ていて、高宮さんは「結構地獄絵図」と表現しています。

高宮さんによれば、スタートアップも被害を受けていて、どの投資先の役員会でもセキュリティは必ず話題になるといいます。そこで、経営者目線の話に加えて、技術目線の意見を聞くため、番組CTOの今井さんが参加しました。

高宮さんの関心は会社だけでなく、自分自身にも向いています。会社のパソコンで番組を収録していることも含めて、個人としてどう対応すべきかが気になっているそうです。

長谷川さんは大阪で福祉事業を営んでいて、障害者の方の個人情報というセンシティブなデータを扱っています。高宮さんも医療系の投資先を挙げ、医療系では個人情報のセンシティブさが「一段上」だと話しています。

最初の論点は、攻撃者がどこから入ってきているのかです。高宮さんは、システムの技術的な脆弱性を突かれるよりも、AIエージェントやVPNの権限設定など、人が関わる運用ルールの部分から入られるケースのほうが多いのではないかと問いかけました。

本業でもスタートアップのCTO兼CPOを務める今井さんは、人為的な原因も技術的な原因も「どっちもある」と答えています。話題になったPCの乗っ取りの事例については、サービス側が配っていた設定値をダウンロードしたPCが乗っ取られた形で、両者の「合いの子」のようなものだと説明しました。

今井さんは、デフォルト設定を配ったのは会社側なので技術的な問題とも言えるとしつつ、基本的には高宮さんの見立てに同意しています。

高宮さんは、後者は技術力が今のままでも、すべての企業が対応できる話ではないかと考えています。そのうえで、問題がこれまで表に出なかった理由をAIの登場に求めました。

高宮さんによれば、先ほどの事例も7年間同じ設定のままだったのに、今になって穴を見つけられたといいます。今井さんも、攻撃がやりやすくなり「数の暴力」で穴が探されやすくなった構造が背景にあると認めています。

高宮さんは社外取締役として、投資先の取締役会でセキュリティを経営アジェンダとして優先度を上げるよう議論しているといいます。攻撃力が圧倒的に上がったため、うっかり穴を残すと大きな被害につながるからです。

高宮さんは、情報を漏らしたときの被害の大きさを「マグニチュード」と呼び、次のように整理しています。

クリティカルな情報を持つ企業ほど、できるベストエフォートで徹底的に穴を塞ぐ必要がある、というのが高宮さんの考えです。これまでは意識が低く、外部のセキュリティ企業による脆弱性チェックにもコストをかけられなかった企業が多かったと話しています。

高宮さんは、セキュリティ対策をAI時代の必要コストとして織り込み、それでもエコノミクスが合うビジネスモデルを考える段階に入ったと見ています。

今井さんは高宮さんに、ゼロから事業を始める場合、セキュリティの優先度をどう考えるべきか、投資先にどうアドバイスしているのかを尋ねました。

高宮さんの答えは「持たざるセキュリティ」です。金融サービスの本人認証のように免許証をアップロードさせる仕組みは、持っていること自体がリスクになるため、端末側で認証を済ませ、企業は認証OKの情報だけを受け取る世界が来ると予想しています。

高宮さんは、KYCサービスや情報バンクのように情報を抱えるビジネスは、マグニチュードが大きすぎて狙われやすいと指摘します。世界最高のホワイトハッカーを抱えるくらいの覚悟がなければ、情報を抱える側は危ないという見方です。

高宮さんはこれに同意し、よほどセキュリティの技術力に自信がない限り、企業は持たない方向へ向かうと答えました。データを持つ側は、そのコストを織り込んでも成り立つかをビジネスプランの段階で考えざるを得ないといいます。

高宮さんは、似た構図の過去の例として、クリプトの取引所が大手証券会社の傘下に入った話を挙げています。金融庁が求める大手金融並みのセキュリティやコンプライアンスを入れた結果、オペレーションコストとシステムコストが急増し、利益率が大きく下がったといいます。

高宮さんによれば、これまでは技術側が対策の必要性を訴えても、スタートアップの限られた調達資金の中では優先度が下がり、対応が後手に回るのが世の中の相場観でした。

高宮さんは、法改正への対応でビジネスモデルのエコノミクスが悪化することがあるように、セキュリティも法律と同じぐらい強い強制力を持つ事象になったと考えています。

今井さんは、高宮さんの「持たざるセキュリティ」の考えが技術的にも理にかなっているとし、クレジットカード業界の例を挙げました。今井さんによれば、5年前か3年前ごろ、クレジットカードを扱う事業者にはPCI DSSPCI DSS ── クレジットカード情報を安全に取り扱うために、カードブランド各社が定めた国際的なセキュリティ基準。カード情報を扱う事業者に準拠が求められますへの対応が必須になったといいます。

今井さんの説明をざっくり言うと、PCI DSSは自社サーバーを経由せずにクレジットカード番号を扱う仕組みです。SaaSでサブスクリプションの決済を受ける場合でも、カード番号を自社サーバーに送らない構成をとる必要があります。

高宮さんは、ディフェンス力の高い事業者に守りを集中させる構造だと受け止めました。さらに、Stripeを使う企業はリスクを外部化しており、万が一のときに「Stripeのせいだ」と言える分の費用も払っていると指摘しています。

今井さんはそこに保険的な意味も含まれているとし、同じような仕組みが他の業界でも今後たくさん出てくるだろうと話しています。

高宮さんは、この1年ほど広がっていた流れに疑問を投げかけます。エンジニアやセキュリティ担当がいない小さな企業が、SaaSは高いからとClaude CodeClaude Code ── Anthropicが提供するAIコーディングツール。自然言語で指示すると、コードの作成や修正をAIが行いますで自社専用のツールを作る流れです。

長谷川さんの会社でも、人事労務システムなどをClaude Codeで作り、チューニングして使っているといいます。高宮さんは、既存の大きなSaaSを使うほうが、セキュリティや責任の所在の面で中長期的には良いのではないかと考えています。

高宮さんによれば、判断の分かれ目は扱うデータです。会社概要のホームページなら漏れても問題は小さい一方、利用者の医療情報や従業員の給与・扶養家族の情報はセンシティブなので、クリティカル度に応じて自作か外部SaaSかを選ぶべきだといいます。

高宮さんは、身分証明書が漏れて名寄せされると、勝手に携帯電話を契約されて犯罪に使われるようなことも起こりうると話しています。そのうえで今井さんに、データを断片化して名寄せできなくする方法はあるのかを尋ねました。

高宮さんは、専任のセキュリティ担当がいないスタートアップや中小企業は、そもそも相談する相手もいないと指摘し、どうすればよいのかを今井さんに尋ねました。

今井さんは、これは新しい悩みだと答えています。Claude Codeがなかった時代は外部のSaaSに任せるしかなかったのに、今はなまじ自作できてしまうからです。

高宮さんも同じことを考えていたといいます。身代金100万円のような攻撃を何千件も仕掛けて小銭を稼ぐことも、AIを使えばできてしまうという見方です。

今井さんが特に危ないと見ているのは、エンジニアではない社内の人がClaude Codeで作ったツールが、社外からもアクセスできる状態で公開されているケースです。

高宮さんが「社内に専門家がいなければ、外とつながるシステムは自作しないのが一番安全」とまとめると、今井さんは安全面ではそうだと認めつつ、最終的には経営者が決めるポリシーの問題で、ノーガード戦法もありうると補足しました。

高宮さんは、これまでは目をつけられなければ逃げ切れたノーガード戦法も、小さいうちから狙われるようになった今では、日々のコスト削減に対して被害が大きすぎて割に合わないと考えています。

高宮さんは、守り方も世の中の標準と言える水準までやらなければ、万が一のときに責任を追及されると指摘します。そのため、Stripeのような構造があらゆるSaaSで広がり、責任を取る分の費用を含めた割高なサービスを使うようになると予想しています。

高宮さんは税務申告も同じ構造だと話します。自分で申告してミスをすると悪意を疑われて重く追徴されかねないが、税理士のミスなら一定の負担で済むことがあり、リスクを外部化するために割高なランニングコストを払っているという見方です。

高宮さんはこれを受けて、AI時代に「誰が言うかが大事」という話は、ふつう権威性や納得感といったポジティブな意味で使われるが、今回はリスクを預ける先という後ろ向きな意味でも大事になっていると話しています。

長谷川さんは素人質問として、AIで攻撃側が強くなるなら守る側も強くなり、一周回って心配はいらないのではないかと尋ねました。

高宮さんは、人対人の頃は攻撃側にもリードタイムがかかり、先手の有利さはそれほどなかったと補足します。AI時代には脆弱性を高速かつ大量に見つけられるため、穴を塞いでもモグラたたきになるという見立てです。

今井さんは、話題になったPHPのセキュリティアップデートにも触れ、古いシステムの穴を塞ぐ必要性が高まっていると話しています。ウェブサーバーだけでなく、事務所のWi-Fiルーターも内部でサーバーが動いているため、攻撃対象になりうるといいます。

高宮さんによれば、国防の領域ではプリンターのレベルまでデバイスを守れという議論も出ているそうです。今井さんも、プリンターもWi-Fi接続のためにサーバーを動かしているとし、1事業者では防ぎきれない領域まで来ると見ています。

今井さんは、ローカルや事業所に物理的にデータを持たず、アクセスもできない状態を徹底すべきだとし、経営者のセキュリティに対する考え方も今一度アップデートしたほうがよいと話しました。

高宮さんは、大数の法則大数の法則 ── 試行回数を増やすほど、実際の発生率が理論上の確率に近づくという法則。ここでは、狙われる回数が増えればいつか被害に遭うという意味で使われていますのようにいつか自分のところにも来ると考え、漏れたときに説明責任を果たせる状態にあるかを常に問うべきだと話しています。

高宮さんは、税理士や会計士の費用と同じく、セキュリティの専門家や保険の費用も当然かかるものだと捉えるべきだといいます。今まで削られがちだったセキュリティは、経営者がコストダウンで削る先ではないという考えです。

続く発言では、スタートアップではないスモールビジネスも、身代金攻撃を大企業だけの話と思いがちだが、絨毯爆撃的な攻撃で少額の身代金被害がそこら中で起こりうるため、他人事ではないと語られています。

高宮さんは、攻撃の技術的難易度もコストも下がった一方で、国が厳罰化によって社会的なコストを上げ、攻撃を割に合わなくする動きも出てくるのではないかと付け加えました。

話題は個人のセキュリティに移ります。高宮さんは、個人メールを会社のパソコンで見てよいのか、休憩時間のウェブサーフィンはよいのかと問いかけ、自分経由で漏れたときの補償は個人で負える範囲を超えてしまうと指摘しました。

そのため高宮さんは、会社のポリシーを愚直に守ったうえで漏れたのなら会社のポリシーの問題だと言える状態にしておくべきではないかと考えています。

今井さんは、個人のセキュリティリテラシーの向上は国としても重要だと答えています。会社によってはなあなあにされがちだったセキュリティ研修も、これからは徹底されるべきだといいます。

高宮さんは、究極的にはPCをネットから切り離す方法もあるが実生活では無理だとし、どこまでやれば「ちゃんとやっていた」と言えるのかを尋ねました。

今井さんは、ここ2、3年のAIの隆盛で個人のセキュリティは「しっちゃかめっちゃか」になっていると認めています。データがローカルでプライバシーを保護されたまま処理される世界に行くまでの過渡期は、市場原理的に「使わない」という選択は難しいという見方です。

今井さんが勧める最低限の対策は、顧客情報などセンシティブな情報をローカルに保存しない、閲覧もしないことです。高宮さんが補足したように、会社のサーバー上のデータを見に行くだけにして、別のPCにも持ち出さないことを徹底します。

高宮さんは生活者の目線でも問いかけます。登録したサービスから運転免許証が漏れ、番号を変えるために免許センターが混雑しているといった状況に、個人として何ができるのかという問いです。

今井さんは、免許証の漏洩は個人レベルでは気をつけようがないと率直に答えました。それでも、二人の話からは次のような工夫が挙がっています。

• 必要のないサービスには登録せず、休眠アカウントは削除する
• サービスごとにメールアドレスを変え、名寄せしにくくする
• パスワードを使い回さない
• 二段階認証やパスキーなどの多要素認証を使う

高宮さんは、Gmailはアドレスにピリオドをどこに入れても同じ受信箱に届く仕組みを使い、サービスごとにピリオドの位置を変えて、漏れたときにどこから漏れたか追えるようにする工夫を考えているそうです。今井さんも、iOSで捨てメールアドレスを簡単に作れる機能に触れ、アドレスを複数作って転送先を1つにする方向性はありうると話しています。

一方で今井さんは、退会してもデータがサーバー側に残っている可能性があると注意を促しました。サービス側が論理削除しかしていない場合や、法律上1年間などの保存が必要な場合があるといいます。

高宮さん自身も、免許証が漏れたサービスでは退会者の情報まで漏れていて、自分も該当しているかもしれないと話しています。退会に実利はあるのかという問いに、今井さんは「気持ち的に楽になる」としつつ、実利は「わからないが正しい」と答えました。

高宮さんが、Googleアカウントを取られたらパスワードマネージャーごと一網打尽になると怖がると、今井さんは逆の見方を示しました。

高宮さんは、信頼できる1社に寄せて徹底的に守ってもらう構図を、Stripeの話がさらに巨大化したものだと捉えています。そのうえで、Googleアカウントの人為的な穴を塞ぐために、二段階認証の一方には生体認証を入れるべきだと話しました。

今井さんは、Googleに一極集中するなら、分散が中心だったインターネットとは何だったのかという問いになると投げかけます。高宮さんは、民主化させるはずのテックが資本主義を増幅させる方向に動いたと応じました。

さらに高宮さんは、所有権の登記や株主名簿が改ざんされれば、資本主義が立脚する信頼が崩れ、お金すら信用できなくなるのではないかという、SFがかった想像も語っています。

今井さんは、ビットコインのように分散管理で改ざんを修正できるアーキテクチャもあると答えつつ、分散管理そのものが破られる可能性もあると話しました。発電所や軍事施設の話にまで広がり、今井さんは、それをどう対策するかは国として考えるべきだとしています。

最後は、北斗の拳の世界でも生き残る戦略論という冗談で場が和みました。締めくくりでは、今井さんの言葉は「やれることをちゃんとやりましょう」に集約されると振り返られています。

まとめ

AIによって攻撃が手当たり次第に行われるようになった今、セキュリティは企業規模を問わず削れないコストになりました。完全に防ぐことは難しい前提で、データを持たない設計、リスクの外部化、個人レベルでのデータ分離を組み合わせ、万が一のときに説明責任を果たせる状態を作ることが求められています。

• 多くのインシデントは、穴がないところをこじ開けられたのではなく、もともとあった設定の穴をAIで見つけられたものだと語られている
• 漏洩の被害は人数とクリティカル度の掛け算で決まり、重い情報を持つ企業ほど対策コストを織り込んだビジネスモデルが必要になる
• PCI DSSのように「持たない」設計と、Stripeのような専門事業者へのリスクの外部化が、他の業界にも広がると見られている
• 小さな会社も狙われる時代には、外部とつながる自作ツールのノーガード運用は割に合わない
• 個人は顧客情報をローカルに持たず、パスワードの使い回しをやめ、多要素認証を使うといった基本を徹底することが大切