――収益に直結しなくても、セキュリティ対策を放置していたら会社の信頼や売り上げに大打撃を与える事態を引き起こしかねません。 　セキュリティの担当者や、危険な事案のにおいを嗅ぎ分けられる人がいても、「この対策が必要だ」と社内で押し通せる政治力はまた別だ。経営陣が全体を理解しているか、剛腕で仕切れるCTO(最高技術責任者)のような人がいなければ、優先順位は上がりづらい。 　同じIT大手でも、楽天グループは(セキュリティ対策と成長の両立が)できている。おそらく経営レベルで、セキュリティ対策のあり方にそうとう議論の時間を割いているのではないか。楽天は有価証券報告書で、情報セキュリティの確保を経営上の最重要課題の1つに位置づけ、情報セキュリティ＆プライバシー委員会を毎月開催していると記載している。

　仮に楽天がサービスを1週間止めたら、従来のポジションを取り戻すのにかなりの営業コストがかかるわけで、そうした危機意識が会社全体で共有されているのだろう。 ■理想は平時から「外の目」があること 　――クラウドなどの利用も広まる中、情報システム、セキュリティへの対応の強化はITプラットフォーマーに限らず、官民共通の課題です。 　今の多くの会社は、自社でエンジニアを抱えず、IT会社にシステムの構築から運用まで任せている。発注側はほぼ中身をわかっていないと思う。

　正論を言えば「ITベンダーに丸投げし、自分の事業なのに何も把握してないのはどうなのか」と強く訴えたい。情報システムがほぼ組織の根幹を成している今、自分たちのコントロールできないところで、心臓を握られているということですから。 　でも多くの事業者は「事故が起きるまでそれでいい」と思っている。委託先が事件を起こしたら委託先のせいにするかもしれないが、自分たちの事業の問題である以上、経営陣が責任をとるべきだ。

　そして、外の目は非常に重要。「社長、経営のリソース配分を間違えていますよ」なんて社員は言えない。中の目だけでは問題を列挙できないし、社外取締役も情報システムの知見がある人がどこまでいるかわからない。 　LINEヤフーでも、AI倫理などに関する有識者会議がある。理想は平時から同様の有識者組織を持つこと。それが難しくても、事故が起きた際には、第三者の目で経営から技術的な問題まで継続した検証を行うべきだ。