第6話 株価と沈黙 ― 発表できない情報
第6話 株価と沈黙 ― 発表できない情報
Market Disclosure — The Cost of Silence
午後九時二十分。
緊急役員会が終了してから、まだ三十分も経っていなかった。
最上卓也のスマートフォンが鳴った。
広報部長からだった。
「最上副社長、緊急でご相談があります」
「何だ？」
「報道機関から問い合わせが入っています。当社のAIシステムに障害が発生し、社内情報が外部に流出したという情報を入手した、と」
最上の表情が変わった。
「どこから漏れた？」
「分かりません。ただ、複数の報道機関から問い合わせが来ています」
「事実関係を確認している。現時点で、憶測を含む回答はしないでくれ」
「プレスリリースだけでも、今夜中に出すべきでしょうか」
「広報だけで判断するな。IRと法務を招集してくれ」
午後九時三十分。
オンラインの緊急会議が始まった。
参加者は、最上、黒木、広報部長、IR担当役員、法務担当者。
画面には、社内で作成された暫定報告書が表示されていた。
CORPORATE INCIDENT — DISCLOSURE REVIEW
Incident：Enterprise AI Platform Data Exfiltration
Detection：18:00:14
Current Status：Investigation in Progress
Impact Scope：Not Fully Determined
External Transmission：Confirmed
Attacker Identity：Unknown
広報部長が口を開いた。
「明日の朝刊に間に合うよう、今夜中に第一報を出したいと考えています。報道機関が先に情報を出せば、会社が事実を隠していたと受け取られかねません」
IR担当役員が反論した。
「待ってください。市場への影響を考えなければなりません」
「どういうことだ？」
最上が尋ねた。
「当社の中長期事業計画、新規事業、M&A関連資料に関係する情報が外部送信された可能性があります。これが市場に伝われば、投資家は経営戦略そのものに疑念を持つでしょう」
「株価が下がるということか」
「急落する可能性があります。特に、M&Aや新規事業の情報は、企業価値の評価にも関係します」
広報部長が言った。
「だからといって、発表を遅らせるわけにはいきません」
「遅らせると言っているのではありません。発表する内容を確定させる必要があるのです」
法務担当者が会話に入った。
「まず、適時開示の必要性を確認します。今回の事故が投資判断に重要な影響を及ぼす事実に該当するか、速やかに検討しなければなりません」
「調査が終わっていないのに、開示できるのか？」
最上が尋ねた。
「確定している事実と、未確定の事項を分けて記載することはできます。すべての調査が終了するまで公表できない、ということではありません」
IR担当役員は、画面上の報告書を確認した。
「しかし、どの情報が流出したのか、まだ分からないのでしょう？」
黒木が答えた。
「現時点で、外部送信されたデータの一部について、経営関連資料を含むことを確認しています。ただし、すべての送信データの内容と、受信者の特定には至っていません」
「顧客情報は？」
「顧客関連情報についても調査中です。アクセスされた文書、APIが取得したデータ、実際に外部へ送信されたデータを区別して確認しています」
広報部長が尋ねた。
「つまり、顧客情報が漏れたかどうかも、まだ確定できない？」
「一部については確認を進めています。現段階で、全件流出したとは言えません」
最上が黒木を見た。
「追加の流出は止められたのか？」
「外部送信に関係するAPI連携を制限し、該当するサービスアカウントの権限を停止・変更する措置を進めています。ただし、他の経路が残っていないか、継続して監視しています」
「原因は？」
「RAGの検索対象となった文書に、悪意ある指示が含まれていた可能性があります。文書の登録経路、ACLメタデータ、サービスアカウントの権限、外部APIの実行履歴を照合しています」
IR担当役員が言った。
「投資家に説明するなら、AIが原因だったということですか？」
黒木は即座に答えた。
「それは違います。AIだけを原因とすることはできません。AIが参照した文書、モデルに与えられた権限、APIの実行制御、外部通信の監視。複数の構成要素を調べる必要があります」
「しかし、世間はAIが勝手に情報を漏らしたと受け取るでしょう」
広報部長が言った。
「だからこそ、正確な説明が必要です。AIの問題として単純化すれば、技術的な事実を誤って伝えることになります」
最上は、しばらく黙っていた。
やがて、口を開いた。
「広報。第一報の原案を作ってくれ。IRは適時開示の要否と文案を確認する。法務は公表内容の正確性と義務を確認してくれ」
「承知しました」
「黒木は、調査を続けてくれ。だが、発表のために調査結果を急がせるな。確認できた事実だけを報告してほしい」
「分かりました」
午後十時五分。
広報部門から、最初の文案が送られてきた。
PRESS RELEASE — DRAFT
当社が運用する社内AIシステムにおいて、外部への不審なデータ送信が確認されました。
現在、専門チームによる調査を実施しており、影響範囲および原因の特定を進めております。
現時点で確認された事実については、関係機関との連携を含め、適切に対応してまいります。
お客様、取引先、株主の皆様には、ご心配とご迷惑をおかけしておりますことを深くお詫び申し上げます。
広報部長は、文案を読み上げた。
「簡潔にまとめました」
法務担当者が指摘した。
「『社内AIシステムにおいて』という表現では、システム障害なのか、不正アクセスなのか、情報漏洩なのかが分かりません」
IR担当役員も続けた。
「株主にとって重要なのは、事業への影響です。事業計画や経営関連資料が外部送信されたことを、どこまで説明するのか」
「それを今、明記するのは危険です」
広報部長が答えた。
「危険なのは分かっています。しかし、何も説明しないまま報道されたら、もっと大きな問題になります」
黒木が画面を見つめていた。
「技術的には、もう一つ確認しなければならないことがあります」
全員が黒木を見た。
「今回の外部送信は、一度の大きな転送ではありません。複数回に分かれた通信として記録されています。送信先との通信が、通常のAPI連携に似た形式で行われていました」
「それは、どういう意味だ？」
最上が尋ねた。
「通信量だけで判断すると、異常を検出しにくいということです。データが少量ずつ送られていた可能性があります。送信された内容を、引き続き照合する必要があります」
「つまり、まだ被害の全容は分からない」
「はい」
最上は、広報部長に向き直った。
「会見の準備は進めてくれ。ただし、開催時刻はまだ決めない。開示の要否と内容を確認し、明朝までに判断する」
「分かりました」
午後十時四十分。
会議は終了した。
IR担当役員は、翌日の市場への影響を予測する資料を作り始めた。
広報部門は、想定問答集の作成に取りかかった。
法務担当者は、適時開示に関する確認を続けた。
そして黒木は、再び監視室に戻った。
画面には、新しいログが表示されていた。
API Gateway — External Connection
Destination：Unknown External Endpoint
Authentication：Service Account
Status：Blocked
Policy：Emergency Restriction
黒木は、そのログを保存した。
封じ込めの措置は機能している。
しかし、攻撃者がどこまで情報を取得したのかは、まだ分からない。
午前零時を過ぎた。
会社は、翌朝の市場が開く前に、何を公表するのかを決めなければならなかった。
そして、もう一つの問題が残っていた。
報道機関が、なぜこの事件を知っていたのか。
まだ公表していない情報を、誰が外部に伝えたのか。
黒木は、監視画面から目を離さなかった。
