# オープニング どうも、りゅうちです。 今日もVoicyをお聴きいただきありがとうございます。 この番組は、決済のコンサルファームと セキュリティ対策の会社を経営するりゅうちが 専門である決済やセキュリティの話題、 これまで経験してきた思考法などをシェアする番組です。 今日はですね、今話題になっております GMOの謝罪会見のテーマにお話をしていきたいなと思いますけども 先日ね、GMOインターネットグループのですね 熊谷代表が記者会見を開いておりましたので そちらの内容を解説していきたいなと思いますが この話題はね、先日私の放送の方でも取り上げておりますけれども クラウドサービスの方に不正アクセスがあってですね 実際、利用者の資産にも実害が出てしまったという事件 大変ね、世間でも大きなニュースになっているなということでね 問題の表面化から約2週間ぐらいが経て KTOPが自ら公の場に出て説明をされたということでね 会見時間もね、3時間半という事でかなり長い時間 会見をされていて、注目度の高い場になっていたという事なんですけども 今日はね、この謝罪会見の中から ビジネスパーソンが抑えるべき本質を 3つの要点で凝縮してお話をしていきたいなという事なんですけども まず一つ目なんですが、インシデントに関する経緯という所なんですけどもね 二つ目が、2年前からグループ会社から脆弱性を指摘されたのにも関わらず トップの方に上がっていなかったという組織とガバナンスの壁という所ですね そして三つ目というのが、損失の全額補償方針と会見の後半を巡って 文化や世間から上がった厳しい指摘という事を ちょっとお話ししていきたいなという所なんですけども まず一つ目の所からお話ししていくんですが 発端となっているのはですね GMOインターネットグループが提供する このFXの自動売買向けの仮想専用サーバー オナマエン.コムですと デスクトップクラウドという所への不正アクセスという所が 今回まず発端になったんですが 対象となったサーバーは26,739台という事で かなりのサーバーが攻撃を受けたという事なんですけども 攻撃者はサーバーを経由して利用者のFXアカウントを不正操作して わざと損失が出るような取引を強制的に行ったという事で 完全に乗っ取ったという事ですよね 利用者からすると口座残高が瞬時で消滅するなど 深刻な資産被害が発生してしまったという事なんですけども 更に深刻だったのが 侵入から発覚までのタイムラインなんですよね 会社側の説明によるとですね 攻撃者がシステムに侵入したのが8月5日だったんですね その後管理サーバーに侵入されてマルウェアがばらまかれていたのにも関わらず 会社側が不正アクセスを把握したのが10月20日だったという事なので 実に2ヶ月半分の間ですね 会社の監視体制というのが検知できずにですね 利用者からの問い合わせでようやく気付いたといった この事態自体がねかなり問題があるんじゃないかという所なんですね そして10月21日にですね 攻撃者からGMOに対してですね 約80億円の身代金要求が突きつけられたんですね 応じなければ顧客データを流出させるという事での脅迫を受けたという事です これに対しては熊谷代表はね 一歩たりともこの犯罪者にお金を払う事はしないという事を明確に発表されていて 拒絶をしたという事ですね 支払いにやっぱり応じるとね こんな状態ですと犯罪組織の資金権という形になりますので 次の被害を生むだけという判断でありましたね この姿勢はかなり評価されていましたしね 一方でね2ヶ月以上ね 侵入を見逃してたという監視体制の甘さ ここは重い課題が残るんじゃないかなという所で この辺の原因なとかは今回はあまり明らかにはしなかったんですけども やはり問題があるという事は認めていたという事になるという事ですね 続いてねこの衝撃的だったのが この脆弱性というのが2年も前にですね 既に指摘をされていたという事なんです グループ参加にあるセキュリティ企業のね GMOサイバーセキュリティ 家来という専門家がこの該当システムの危険性を報告していたという事なんですね GMOはこれを受けて緊急メンテナンスを4回ぐらい実証しているんですが 根本的なシステムの再構築に至らなかったという事でね 副社長自身もこの会見で 深さと速さの両面で不足していたという事を 反省をお口にしたという事でございますので ここも事実として認めたという事なんですよね じゃあなんでねこの抜本的な改修が進まなかったのかというね それはこの重大な警告がKトップである熊谷代表までに エスカレーションされていなかったという事のようなんですよね 報告は当時の副社長止まりになっていたという事で 熊谷代表自身も今回の事件が起きるまで知らなかったというね これがかなり問題だったんじゃないかという事ですね どのレベルのリスクを取締役会に上げるべきかという 定量的な報告基準そのものがね 社内で整備されていなかったという事が 今回明らかになったという事なんですよ セキュリティの専門家がせっかく身内にいて その声が経営陣に届かなかったというのは これはかなり問題なんじゃないかという事で この会見を聞くと私自身も感じたという所になってくるんですけどもね そしてね今回もう一つSNSの中で話題になっていたんですが 熊谷代表自身もこの一件があって以降に 被害者の情報にちょっと触れてしまったりだとか 事件の過中に言いながらもね 自身の笑顔の自撮りを写真をSNSに上げるみたいな 行動が出ていた事に対しては 配慮が欠けていたという事を認めたという事になるんですけどもね トップの振る舞いとしてね この社内でもこのSNS上げるという行為自体を 誰も生死できなかったという万々体制 ここもねくしくもちょっと浮き彫りになってしまったという事だという事ですね そして被害者への対応の所なんですけども 今回の発表によると全額補償という所が 約束されたという事になりますので 一律5000円の未賄金と情報流出が確認された場合は 内容に応じて最大300万までの特別未賄金を支払う方針という事のようですよね ここで熊谷代表自体も月額報酬30%カットを含む 役員4人の報酬減額処分というのも発表されたという事なので 損失の全額補償が会社の公式な約束として出た点は 被害者救済の観点からも前向きに評価はされたという事なんですけども 一方で会見の進め方とか中身に関しては 専門家やメディアからかなり厳しい声が上がっていましたよね 特に物議を醸し出したのが会見の第2部で 熊谷代表自体がAIの進化でサイバー攻撃が急激に高度化しているという 持論を熱弁したという事と 通信を遮断する国の制度改革を訴えたという事なんですけども 今回の不正アクセスにAIが使われた証拠はないという事を 会社側自らが認めたという事なんですよね そのにも関わらずなぜ自社の不備を説明する謝罪の関係の場で 関係のないAIの脅威論を語るのかとか 自社の設計ミスや検知遅れの責任を AIや国の制度という大きな話にすり替えてるんじゃないかみたいな 脅威厳しい批判が出てしまったという事なんですよね 今回ここまでお話ししてきたところにも分かる通り 本質的なところは自社の体制の部分がなぜ破られたかという ここが本質的な話なんですよね 特に何か今回AIが使われたとか 国の何かしらの問題があったかというよりは どちらかというと自社の管理体制だとか報告体制 みたいなところが少し緩かったんじゃないかというところなので それがなぜできなかったという説明がないまま 大きな話にいってしまったので かなりメディアの方からも厳しい指摘が上がっていたのかなというところなんですよね 今回の話を最後にまとめていきますと 先ほどお話ししたように GMの事例自体の本質的な問題というのは IT部門だけの問題ではなく経営ガバナンスそのものなんじゃないかということを 今回の件で重要な教訓として分かる部分なのかなということなんですよね 結局優れた技術者とか専門家というのを社内に抱えていても その時の悪い報告がトップに届かないという ここがすごく組織としての問題があるんじゃないかということなんですよね 結果的にその悪い問題がトップに上がっていく エスカレーションの基準がないまま組織が進んでいくと ここはあまりいい話じゃないから上には上げたくないみたいな 意図が働いてしまうと 結局組織としてはこのリスクを防ぐことができないということになってしまうんですね 皆さんの職場でも現場の危険なアラートというのが 途中の管理職で止まっていないかと 都合の悪い情報を経営陣に吸い上げるルートというのが ちゃんと整っているのかというのは今一度見直す必要があるのかなということが 今回の教訓から分かることかなというふうに 私自身は理解をしたというところでございます 本日はGMの謝罪会見から得られた教訓ということで お話をさせていただきました この後コメント返しの方をさせていただきます # コメント返し　サイバーセキュリティ対策が国家レベルに… ここまでお聞きくださり本当にありがとうございます。 今日は、GMの謝罪会見から得られた教訓ということをテーマにお話をさせていただきましたが、いかがでしたでしょうか。 私自身も今、AIガバナンスセキュリティの企業ということでやってはいるので、 特にAIガバナンスという文脈でいうと、ガバナンスというのはやはり経営人のところにまずは意識を向いていかないといけないんですね。 なんとなくセキュリティ対策というと、小手先で現場のところに押し寄せてくるんですけれども、 その前にそもそも管理体制だとか、報告体制みたいなものを整備しておかないと、まさに今回みたいなことが起きてしまうんですよね。 現場で何かしら悪い情報を検知していたとしても、それを吸い上げて上の方に報告をするというものがしっかり届かないと、 その経営としての意思決定ができないような状態が生まれてしまうということなんですね。 なので、セキュリティ対策をしていく上で、結構小手先のことに目が向く経営者も多いんですけれども、 実は一番大事なのというのが、このガバナンスの体制になるんですよね。 この辺りが大企業でもなかなかできていないというところは、今回の事件を見てもよくわかる話だなということなので、 我々の会社でもそうなんですけれども、経営者の意識改革だとか、そういうところから始める方が、 本質的なセキュリティ対策みたいなのができてくるんだろうなというふうに考えていますので、 これから我々も仕事をしていきたいなというふうに、改めて感じさせられた、そんな意見になったなというふうに思っております。 ぜひ本日の放送が良かったら、チャンネルのフォローやいいねで応援をいただけますと嬉しいです。 ではこのままコメント返しをさせていただきますが、 今回コメント返しをさせていただきますのは、サイバーセキュリティ対策が国家レベル2ということで放送させていただいた回でございます。 こちらの方にコメントを寄せていただきましたのは、まずはじめサルタカさんですね。 使っていないクレジットカードを解約したのですが、残ったカードはビザカードのみ、ビザ障害の時のコンティプランがなくなりましたということで、 減らしすぎると確かにこういうコンティプランがなくなってくるんですけれども、 なのでちょっとブランドを分けて複数持つというのが、もしかするといいのかもしれないですね。 サルタカさんもコメントいただきありがとうございます。 続きまして、ボイシーバーサリティのクラさんです。 これ無視できない問題になってきましたね。 私への振り込みは手渡しでも大丈夫なので、安心してくださいということなんですけどね。 クラさんからは私は貰う方なので、手渡しで受け取りますので、こちらこそご安心ください。 クラさんもコメントいただきありがとうございます。 続きまして、ボイシーバーサリティのKOUHEIさんです。 こんにちは。本当にセキュリティ漏洩がどんどん加速する中、実害が出るようになってきましたよね。 だからこそ的を絞らせず、的を小さくして攻撃の範囲から外させる戦略、めちゃくちゃいいなと思いました。 私も使っていない講座はどんどん閉鎖していきますということなんですけどね。 そうですね。この放送の中でもお話しさせていただきましたが、やっぱり無駄なもの、余計なものというのは、対象を減らすというのが鉄板のやり方ではありますので、 私自身もやっぱりこれを機械系に、不要な居民講座とか、不要なカードというのは整理したいなと思っております。 KOUHEIさんもコメントいただきありがとうございます。 続きまして、Voicy Personalityののりさんです。 最近、セキュリティ面でのニュースが本当に多いですね。 そろそろ、りゅうじさんのラーメンのニュースも取り上げられそうですということなんですけどね。 私のラーメンのニュースが取り上げられることは全くないとは思いますけども、本当にセキュリティ関係のニュースが増えているなということでございます。 でも、こうやって社会の注目を浴びるということ自体で個人のマインドが高まっていくのであれば、 それはそれで結果は良いことになるのかなというふうには思っていますね。 のりさんもコメントいただきありがとうございます。 いただきましたコメントはこのようにコメント返しということでお返しをさせていただきます。 皆様のコメントはいつもお待ちしておりますので、どうぞよろしくお願いいたします。 それでは本日の放送は以上とさせていただきます。 また明日お会いいたしましょう。