化学メーカーを取り巻くリスクの変化
化学メーカーが提供する「素材」は、いまや単なる工業製品ではなく、世界の産業と社会を支える戦略物資となっている。半導体材料、電池材料、医薬品原薬、先端フィルムのような素材は、地政学リスクや経済安全保障への関心が高まるなかで、重要産業のサプライチェーンを下支えする存在だ。その一方で、化学メーカー自体の組織やビジネスの変化も目まぐるしい。M&Aや事業再編、グローバル展開、企業間連携が進み、事業構造もIT環境も、以前より複雑になった。こうした変化は成長の機会であると同時に、サイバー攻撃のリスクを高める側面も持っている。例えば、M&Aで取得した企業の老朽化したシステムが侵入口になる。重要なサプライヤーが攻撃を受け、原材料の供給が停止し自社の製造まで止まる。あるいは、未公開の研究情報や製造レシピが外部に漏れてしまう。事業が広がり複雑になるほど、こうしたリスクをコントロールすることは難しくなっていく。仮に戦略物資を供給する企業で工場や基幹システムが止まり長期間にわたって出荷が停止することになれば、その影響は自社にとどまらず、下流の産業や社会機能にまで及びかねない。
対策を阻む三つの「難しさ」
このような背景から、化学メーカーにとってサイバーセキュリティ対策の強化は待ったなしの課題だ。一方でいざ実行に移そうとすると、多くの企業が壁にぶつかる。ここではその難しさを三つの観点から整理してみたい。
一つ目は、規制対応の複雑さである。国内外を問わず、サイバーセキュリティ関連の法規制やガイドラインは増え続けており、海外に工場を持つ企業は、国ごとに異なるルールに対応しなければならない。加えて化学メーカーの場合、半導体、電子部品、自動車、医薬、防衛など、納入先の業界ごとにセキュリティ要求が異なるという特徴もある。高圧ガス保安法やGMP（Good Manufacturing Practice: 医薬品の製造管理および品質管理の基準）のように、業界固有の規制のなかにセキュリティ要求が組み込まれるケースもある。これらが、化学メーカーにとって特に法規制や業界要求対応が難しくなる理由である。
二つ目は、サプライチェーンの広さである。原料調達や物流に加え、エンジニアリング会社、分析会社、包装会社など、化学メーカーの事業は実に多様な取引先との連携のうえに成り立っている。だからこそ、自社の対策だけでは十分とはいえず、サプライチェーン全体のセキュリティ水準にまで目を配る必要がある。
三つ目は、人材と投資の制約である。設備投資が優先されやすい産業構造のもとで、企業規模に見合うだけのIT・セキュリティ人材を確保できていない企業も多い。ましてグループ会社の隅々にまで対策投資や要員を行き渡らせるとなると、なおのこと難しい。
情報システム部任せにしない「サイバー経営」へ
これらの課題は、情報システム部門やセキュリティ部門だけで背負いきれるものではない。経営、事業、製造、研究、調達、海外拠点まで含め、全社で取り組むべき経営課題として捉え直す必要がある。
出発点となるのは、経営層の判断だ。経営層が全社的な事業継続計画（BCP）観点から「何を優先して守るべきか」を見極め、各事業部やコーポレート部門に対して、セキュリティ組織と連携しながらリスクへの備えに取り掛かるよう明確に方向づける。経営層による優先順位づけを土台に、各部門の業務のなかへ具体的なセキュリティの取り組みを落とし込んでいく。この地道な積み重ねこそが、実効性のある備えにつながっていく。
次回は、こうした難しさに対して、どのような対策を進めていくべきかについて触れていきたい。
