新章 第九話 世界もまた、システムの複雑さに苦しんでいる―情報流出は国境を越える
第九話 世界もまた、システムの複雑さに苦しんでいる―情報流出は国境を越える
日本企業の情報流出を考えるとき、私たちは、つい日本独自の事情に目を向ける。
古いシステムが残っている。
企業統合が複雑である。
現場に負担が集中している。
経営陣が技術的な問題を十分に理解していない。
しかし、視野を世界に広げると、問題は日本だけのものではないことが見えてくる。
巨大な企業も、国際的な小売業者も、政府機関も、情報システムなしには動けない。そして、そのシステムが巨大化し、相互に接続されるほど、一つの問題が及ぼす影響も大きくなる。
2026年に起きた海外の事例をたどると、情報セキュリティとは、単にデータを盗まれないようにする技術ではなく、社会や企業の活動そのものを、どのように守るかという問題になっている。
## 一 スーパーの営業は続いても、システムは止まる
2026年10月、オランダを拠点とする小売大手アホールド・デレーズは、サイバーセキュリティ上の問題を受け、複数のシステムを停止した。
同社は欧州や米国でスーパーマーケット事業を展開している。影響は、オランダのアルバート・ハインや、米国のストップ・アンド・ショップなど、複数のブランドに及んだ。
店舗の営業が続いていても、ウェブサイトやアプリ、オンライン注文などのサービスは影響を受ける。10月16日時点で、オンラインサービスの復旧には時間がかかる見通しと報じられていた。一方、同社は顧客情報が侵害されたとは確認していないと説明しており、事件の詳細は調査中だった。<Cite refs={["turn442354news22","turn442354news25"]} />
この事例で考えたいのは、情報流出の有無だけではない。
現代の小売業は、店舗に商品を並べて販売するだけでは成り立たない。商品の在庫、物流、注文、配送、顧客対応、決済、従業員の業務管理など、多くの機能が情報システムに支えられている。
顧客の個人情報が流出していなくても、業務システムが停止すれば、顧客や従業員、取引先に影響が及ぶ。
つまり、情報セキュリティの被害は、データが盗まれたかどうかだけでは測れない。
システムが使えなくなること自体が、企業の活動を止める原因になり得るのだ。
ここで重要になるのは、障害や攻撃を完全に防げると考えることではない。
一部のシステムが停止しても、ほかの機能まで一斉に止まらないようにできているか。手作業や代替システムで、最低限の営業を継続できるか。復旧の優先順位が決まっているか。
巨大な企業ほど、こうした設計上の問いを避けて通れない。
## 二 政府の情報は、なぜ守りきれなかったのか
企業だけではない。政府機関もまた、大規模な情報を管理する責任を負っている。
2026年9月、米国防総省の人事関連記録を扱う国防人事データセンター（DMDC）に関して、数百万人規模の個人情報が不正アクセスの影響を受けた問題が明らかになった。
10月初旬までに公表された情報では、生存者約276万人、故人約29万4000人、合計約305万人分の記録が対象とされていた。問題となったのは、ファイル共有に関係する脆弱性を通じて、暗号化されていない人事情報にアクセスされたことだった。<Cite refs={["turn442354search0"]} />
政府が保有する情報は、単なる顧客名簿とは性質が異なる。
氏名や連絡先だけでなく、職務や経歴に関する情報など、個人の生活や社会的な立場に関わるデータが含まれる場合がある。
それらが不正に取得されれば、本人への直接的な被害にとどまらず、詐欺や標的型攻撃など、別の攻撃に利用される可能性もある。
ここで問われるのは、誰が情報を管理していたかという責任だけではない。
なぜ重要な情報が、そのような形で保存されていたのか。
アクセスできる範囲は適切に制限されていたのか。
外部からのアクセスを、どのように検証していたのか。
脆弱性が存在した場合、発見から修正までの時間を短縮できる仕組みがあったのか。
実際の原因や責任を判断するには、調査結果を待たなければならない。
それでも、事件から考えるべき設計上の課題は明確である。
重要な情報を保有する組織ほど、情報を集めて保存することだけでなく、保存方法、アクセス制御、暗号化、監査、そして不要になった情報の削除まで含めて設計しなければならない。
情報を持っていることは、情報を守れることを意味しない。
むしろ、情報を大量に保有する組織ほど、その管理責任は重くなる。
## 三 世界をつなぐ仕組みは、世界規模の弱点にもなる
企業が大きくなると、自社だけですべてのシステムを開発し、運用することは難しくなる。
クラウドサービスを使う。
外部の事業者に業務を委託する。
共通のソフトウェアを利用する。
遠隔地から保守できる仕組みを導入する。
こうした仕組みは、効率性を高め、専門的な技術を利用しやすくする。
しかし、接続する仕組みが増えれば、管理すべき接続点も増える。
自社のシステムだけを調べても、全体の安全性を判断できない場合がある。外部事業者のアカウント、遠隔保守の権限、共通ソフトウェアの脆弱性などが、自社の安全性に関わるからだ。
2026年10月15日には、グーグルの脅威分析チームが、遠隔サポート製品を提供するBeyondTrustの機器に見つかった深刻な脆弱性について、悪用の可能性を警告した。報道によれば、攻撃が成功した場合、認証情報へのアクセスや悪意あるファイルのアップロード、システムの制御につながるおそれがあった。<Cite refs={["turn442354news20"]} />
遠隔サポートは、離れた場所からシステムを保守するための便利な仕組みである。
しかし、その入口が攻撃者に利用された場合、通常の利用者には許されていない操作まで可能になる危険がある。
ここに、現代の情報システムが抱える難しさがある。
便利にするために接続する。
管理を効率化するために権限を与える。
運用の負担を減らすために、共通の仕組みを利用する。
その一つひとつには合理性がある。
だが、合理的な選択を積み重ねた結果、全体として危険な構造ができあがることもある。
問題は、接続そのものではない。
何のために接続するのか。
どの範囲までアクセスを許すのか。
必要がなくなったとき、すぐに切り離せるのか。
外部の仕組みに問題が起きたとき、自社の被害をどこまで抑えられるのか。
こうした条件を考えずに接続だけを増やせば、効率化のための仕組みが、同時にリスクの通路にもなってしまう。
## 四 人間の能力を超える複雑さを、どう管理するのか
ここまで見てきた事例は、それぞれ事情が異なる。
小売業のシステム停止と、政府機関の情報流出と、遠隔サポート製品の脆弱性を、同じ原因による事件として扱うことはできない。
しかし、共通して考えるべき問題はある。
現代の組織は、人間一人が全体を把握できる範囲をはるかに超えたシステムに依存している。
その構造を、担当者一人の記憶や経験だけで管理することはできない。
すべての設定を人間が覚えておく。
すべての接続を人間が把握する。
すべての異常を人間が目で確認する。
すべての事故を、人間の注意で防ぐ。
そのような考え方には、最初から限界がある。
必要なのは、人間の注意力を否定することではない。人間の能力には限界があることを前提に、システムそのものを設計することだ。
不要な権限を与えない。
一つの侵入が全体の侵害につながらないようにする。
重要な操作を記録し、異常を検知できるようにする。
バックアップを本体から分離し、復旧を実際に検証する。
外部事業者に依存する部分も含めて、管理対象を把握する。
そして、システムの構成が変わるたびに、安全性を見直す。
こうした対策を実施しても、すべての事故を防げるわけではない。
しかし、事故が起きることと、事故によって組織全体が破綻することは、同じではない。
その差を生み出すのが、設計と運用の積み重ねである。
## 五 巨大企業は、巨大であることを管理できるのか
企業が成長すれば、扱う情報も、接続するシステムも、関係する事業者も増えていく。
それによって事業の可能性は広がる。
一方で、全体像を把握することは難しくなり、どこかに存在する小さな問題が、思いがけない場所に影響を及ぼす可能性も高まる。
企業統合によって生まれる複雑さ。
外部委託によって生まれる依存関係。
クラウドや遠隔保守によって生まれる接続。
大量の情報を集中管理することによって生まれるリスク。
これらは、単純に「大企業だから危険だ」という話ではない。
大規模なシステムを持つことには、効率性や利便性という明確な利点がある。
だからこそ、その利点を享受するためには、複雑さを管理する能力が必要になる。
会社を統合するだけでは足りない。
システムを接続するだけでも足りない。
セキュリティ製品を導入するだけでも足りない。
必要なのは、自分たちが何に依存し、どこに弱点があり、何かが破られたときにどこまで被害が広がるのかを、継続的に把握できる仕組みである。
そして、その仕組みを維持する責任を、現場の担当者だけに負わせないことだ。
情報セキュリティは、技術者だけの問題ではない。
経営者だけの問題でもない。
利用者の注意だけで解決できる問題でもない。
設計、運用、経営判断、外部との契約、そして組織全体の責任分担が関わっている。
世界の巨大組織が直面している問題は、日本企業にとっても他人事ではない。
国や企業の規模が違っても、人間の能力には限界がある。そして、複雑なシステムを人間の注意だけで支えようとすれば、その限界はいずれ表面化する。
**世界が直面しているのは、単に攻撃者が強くなったという問題ではない。人間が作り上げた巨大な仕組みを、人間がどこまで把握し、制御できるのかという問題でもある。**
では、AIが攻撃と防御の双方に使われるようになったとき、この問題はどう変わるのだろうか。
人間が手作業で確認していた膨大な設定を、AIが短時間で分析できるようになる一方、攻撃者もまた、脆弱性の発見や攻撃の自動化にAIを利用する。
複雑さを管理するための技術が、複雑さを利用するための技術にもなる。
次の第十話では、AIが情報セキュリティの攻防をどのように変えつつあるのかを考えたい。
