第212話「マイナス20度で手書き伝票 ～ニチレイのサイバー攻撃と、冷凍食品が届かなくなった夏～」
マリコ：（アイスの棒を持って、ションボリしながら登場）サチコ、聞いてくれ。コンビニでいつものアイス買おうと思ったら、なかったんや。
サチコ：それだけで悲しむなや、小学生か。ほんで何のアイスや。
マリコ：それはどうでもええねん。問題は「棚が空いてた」っちゅうことや。
サチコ：ああ、それはたぶん今日話す事件の影響やな。
マリコ：事件！？
サチコ：7月13日、冷凍食品でおなじみのニチレイはんのサーバーが不正アクセスを受けたんや。
マリコ：ニチレイ！あの、うちの冷凍庫の常連さんやんか。餃子とか炒飯とかシュウマイとか。
サチコ：そのニチレイの、冷蔵倉庫や物流を担うグループ会社のシステムが止まった。朝の6時50分頃に障害が確認されて、その日のうちに緊急対策本部が設置された。
マリコ：朝一番から大慌てやったわけやな。
サチコ：最初は「システム障害」としか発表されへんかったんやけど、2日後の7月15日に第2報が出て、正式に「サイバー攻撃を確認した」と発表された。
マリコ：最初は言葉を濁して、後からはっきり認めたっちゅうことか。
サチコ：しかも被害を受けたサーバーの一部に個人情報が保管されてて、漏えいの可能性がある事案として個人情報保護委員会に報告したっちゅう発表もあった。
マリコ：個人情報も危なかったかもしれへんのか。それは冷凍食品どころやないな。
サチコ：ただし攻撃の詳細、つまり侵入経路とか手口については「さらなる被害の拡大を防ぐため」として非公開にしてる。
マリコ：「詳しいことは言えません」っちゅうことやな。
サチコ：これは別に隠蔽やなくて、セキュリティ事案では一般的な対応や。詳細を公開すると同じ手口の模倣攻撃を招くリスクがあるからな。
マリコ：ほんで、実際どんな業務が止まったんや。
サチコ：ニチレイロジグループの冷蔵倉庫での入出庫業務と、ニチレイフーズの冷凍食品出荷業務が止まった。
マリコ：「冷凍食品を作る会社」やと思ってたけど、実は「冷凍食品を運ぶインフラそのもの」やったっちゅうことか。
サチコ：そこがこの事件の一番重要なポイントや。ニチレイは全国75カ所を超える冷蔵倉庫を持ってて、冷蔵倉庫の保管能力では国内1位、世界でも上位に入る規模や。取引先は約5000社にのぼる。
マリコ：5000社！ほとんど日本の冷凍食品業界全部が絡んでるっちゅうことやんか。
サチコ：しかもグループ外の売上比率が92パーセント。つまり自社製品を運ぶだけやなくて、他社の商品も大量に預かって物流を担ってる、いわば「冷凍食品業界の共有インフラ」やったんや。
マリコ：「ニチレイ自体の商品が止まった」んやなくて、「みんなの荷物を預かってる倉庫が止まった」っちゅうことか。それは大事件やな。
サチコ：具体的にどんな影響が出たか言うと、まずスーパー。イオンで冷凍食品やアイスの一部で欠品が発生した。
マリコ：うちが探してたアイスも、そのせいでなかったんか！
サチコ：外食チェーンではケンタッキーフライドチキンで発注制約や営業時間短縮が起きて、くら寿司でも一部商品に欠品が出た。
マリコ：ケンタッキーもくら寿司も！冷凍の鶏肉やネタが届かへんかったら、そら商売にならんわな。
サチコ：さらに冷凍食品を作ってる側にも影響が出た。キムチを製造してる会社が、保管先を失って製造そのものを停止する事態も起きとる。
マリコ：「保管する場所がなくなったから、作るのをやめる」っちゅう、川上まで巻き込まれたわけやな。
サチコ：あと給食や中食の現場でも、必要な冷凍食材が届かず献立の変更を迫られた。栄養バランスの再計算とか、現場の負担が急増した。
マリコ：「今日のメニュー、急遽変更でお願いします」って言われた栄養士さん、たまらんな。
サチコ：それから運送会社。積み込みがでけへんで車両の稼働率が下がって、待機や再配車を強いられた。
マリコ：関わってる業界、多すぎるやろ！物流、小売、外食、給食、製造業、全部巻き込まれてるやんか。
サチコ：しかも現場ではもっと生々しい問題が起きとった。倉庫のシステムが止まると、「どの棚に何がどれだけ入ってるか」が分からへんようになんねん。
マリコ：デジタルで管理しとったから、いきなり分からへんようになるんか。
サチコ：それで現場は手書き管理に切り替えることになった。マイナス20度以下の極寒の倉庫の中で、人間が伝票を手で書きながら目視で在庫を探すことになったんや。
マリコ：マイナス20度で手書き作業！手がかじかんでペンも持てへんやろ。しかも「あの商品どこや」って冷凍庫の中をうろうろ探すって、罰ゲームレベルの重労働やんか。
サチコ：当然、処理能力は平時の数分の一まで激減する。それがそのまま出荷の遅れに直結したんや。
マリコ：ほんで、復旧はどうなったんや。
サチコ：ニチレイは17日から、安全が確認された倉庫や工場から順次業務を再開した。ただし受発注や配送量は一部制限しながらの再開や。
マリコ：完全復旧やなくて、恐る恐る再開したっちゅう感じやな。
サチコ：しかも「本部のシステムは復旧した」としつつも、「以前の状態に完全に戻る時期は未定」っちゅう発表もあった。来週中の全拠点での通常稼働を目指すとしてるけど、確実な保証はできへん状況や。
マリコ：「動き出したけど、いつ全快するかは分からん」っちゅうことやな。
サチコ：業績への影響についても、8月7日に予定してる第1四半期の決算発表は予定通り実施して、業績への影響は判明次第開示する、っちゅう方針になってる。
マリコ：決算はちゃんとやるんやな。
サチコ：当たり前やん、大企業さんなんやから。ほな、なんでここまで広範囲に影響が出てしもたんか、っちゅう話をしよか。
マリコ：うん、聞きたいわ。
サチコ：一番の要因は「集中依存」や。低温物流っちゅうのは、倉庫、在庫管理、配送のネットワークが、ニチレイっちゅう一社に集約されてた。
マリコ：「みんなが同じ倉庫に荷物を預けてた」せいで、その倉庫が止まったら全員が止まった、っちゅうことやな。
サチコ：しかも冷凍・冷蔵の物流は、温度管理と在庫位置の特定が極めてIT依存度が高い。デジタルでの管理を前提にしすぎとって、手動での代替運用の準備が不十分やったっちゅう指摘がある。
マリコ：「全部システムでやる前提」で作られてたから、システムが止まった瞬間に手も足も出えへんようになったわけやな。
サチコ：セキュリティ対応としては「早期にシステムを遮断して被害拡大を防ぐ」っちゅう判断は正しかった。でもその判断が、そのまま物流網の完全停止に直結してしまう構造やったんや。
マリコ：「守るために止めたら、止めたことで別の被害が出る」っちゅう、なんとも皮肉な話やな。
サチコ：これは今回が初めてやない。過去にもアサヒグループホールディングスやアスクル、近鉄エクスプレスなんかの物流・製造業がサイバー攻撃で同じような目に遭うてる。
マリコ：「基幹システムが止まると、現場のオペレーションが直接止まる」っちゅうのが、この業界共通の弱点なんやな。
サチコ：ほんで、今後どう備えたらええんか、っちゅう話になるんやけど、専門家の間では「グレースフル・デグラデーション」っちゅう考え方が重要やと言われてる。
マリコ：グレースフル・デグラデーション！なんやそれ、カタカナのフルコースやん。なんやったらちょっと美味しそうなコースメニューやん。
サチコ：料理ちゃうで！「優雅な劣化」っちゅう意味や。全部が完璧に動くか、完全に止まるかの二択やなくて、一部が止まっても最低限は動き続けられるように設計しとこう、っちゅう発想や。
マリコ：「全滅か無傷か」やなくて、「多少ボロボロでも生き延びる」設計にしとこうっちゅうことやな。
サチコ：具体的には、倉庫・受注・配送のシステムを一枚岩にせず分離しておくこと。手書きでの運用訓練を平時からやっておくこと。データのバックアップをネットワークから切り離した状態で保管しておくエアギャップバックアップなんかが提言されてる。
マリコ：取引先の企業側も、何か対策せなあかんのちゃうか。
サチコ：せや。一社依存から脱却するために、代替の倉庫や運送会社と事前に契約しておくこと。在庫日数を見直して、重要な食材については数日分のバッファを持っておくこと。あとは受発注システムを複数のベンダーに分散しておくことなんかが提言されてる。
マリコ：「一社にすべてを預けるな」っちゅう、決済代行会社の話でも聞いたような教訓やな。
サチコ：ほんまや。決済でも物流でも、同じ構造の問題が繰り返されてる。
マリコ：しかもこの手の話、食品業界には「フードディフェンス」っちゅう考え方があるらしいな。
サチコ：ほう、よう知ってるな。フードディフェンスは、食品が意図的に汚染されたり改ざんされたりするのを防ぐ活動全体を指す言葉や。普通の食品安全、つまりHACCPが「偶然の事故」を防ぐのに対して、フードディフェンスは「悪意ある攻撃」を防ぐことを目的にしてる。
マリコ：「うっかりミス」と「わざとやられること」を分けて考える、っちゅうことやな。
サチコ：そしてその具体的な手法として、TACCPっちゅう考え方がある。英国で提唱された「脅威アセスメント重要管理点」っちゅう手法で、誰が、何を、どうやって狙うかを分析して、重要な管理ポイントを設定するんや。
マリコ：TACCP！さっきのグレースフルなんちゃらといい、今日はカタカナだらけやな。
サチコ：最近ではサイバー攻撃も、この意図的な脅威の一つとして扱われるようになってきてる。生産ラインや倉庫管理システムへの攻撃が、物理的な食品の汚染や供給停止につながる「サイバーフィジカル脅威」っちゅう考え方や。
マリコ：ニチレイの件は、まさにその典型例やったっちゅうことやな。
サチコ：経済産業省も工場システム向けのサイバーセキュリティのガイドラインを出してて、リスクの評価やネットワークの分離、インシデント対応の手順なんかを推奨してる。ただし大手企業はともかく、中小企業では対策がまだ遅れてるっちゅう課題もある。
マリコ：「うちは小さいから大丈夫」っちゅう油断が、一番危ないんやろな。
サチコ：今回のニチレイの件は、サイバーセキュリティが単なる「IT部門の話」やなくて、「食の安定供給という経営そのものの課題」やっちゅうことを、改めて突きつけた事件やと言えるな。
マリコ：うちらもアイスが買えへんようになって初めて、その重要性に気づいたわけやからな。
サチコ：お前は結局アイスの話に戻るんかい。
マリコ：それは切実な問題やねん！冷凍庫の要になってる会社が止まったら、日本中のアイスが止まるっちゅうことやろ！
サチコ：まあ、あながち間違いやないな。「冷凍食品業界の陰の主役」が止まったら、こんなに影響が出るっちゅうのは、なかなか衝撃的な話やったな。
マリコ：ほな、うちは今日だけは常温のお菓子で我慢するわ。
サチコ：それがええ。ほな今日はこのへんで！
マリコ・サチコ：どうもありがとうございましたー！
