三つの「難しさ」をどう乗り越えるか
前編では、化学メーカーがサイバーセキュリティ対策で直面する三つの難しさとして、規制対応の複雑さ、サプライチェーンの広さ、人材と投資の制約を挙げた。戦略物資を支える立場にある以上、対策は待ったなしだ。後編では、それぞれをどう乗り越えるかをボトルネックと共に整理する。
一つ目の規制対応の複雑さは、関係する規制が多いうえ、国・地域×業界の組合せでキャッチアップが要る点に難しさがある。担当部門ごとに対応するには分散のデメリットも大きい。有効なのは、個別対応をやめて共通の統制項目に各要求を紐づけ、全社共通で対策すべき点と事業固有で対応すべき点のメリハリをつけることだ。そのために、短期的には関連規制の調査・棚卸しを、恒久的には各国・各事業の要求情報を集約する連携の仕組みを整え、セキュリティ担当者のみならず法務や事業部担当者も交え、定期的に動向を集約し棚卸しすることが重要だ。AI活用による情報整理の自動化も有効である。
二つ目のサプライチェーンの広さは、取引先が多層に連なり、その先まで目が届かないことに難しさがある。とりわけ日本では特定原料を単一の取引先に頼るケースがあり、その一社の停止が自社の製造停止に直結する。相手が中小企業なら、高い水準を一方的に求めるのも難しい。だからこそ、すべてを均一に見るのではなく、「供給が止まれば製造が止まる」「機微情報を預けている」などリスクの高い取引先を特定することがポイントだ。自社・取引先のBCPや対策状況を踏まえてリスクを明確化し、低減策を打つ。すべてを取引先に求められない場合でも、自社でできる低減策と組み合わせ、現実的に対策を進めることが求められる。
三つ目の人材と投資の制約では、経営層・事業部門とセキュリティ部門のリーダーが密に連携し、投資やリソースを選択と集中することと、専門家が限られても回る仕組みを取り入れることが要となる。全事業部に専門人材を大量配置するのは難しく、どの事業・拠点のどのリスクに投資を寄せるかは、経営層と事業部門が事業リスクの大きさを見極めて決める必要がある。そのうえで中央のセキュリティ部門主導で共通の対策を導入し、専門性がなくとも現場で運用が回るよう、事業部門を巻き込んで通常業務プロセスへ組み込む。運用を共通化できる領域は外部サービスなどで効率化し、限られた人材を重点領域に振り向けるなど、メリハリのある采配が求められる。
まず把握し、「事業リスク」で優先順位をつける
三つに共通するのは、可視化と優先順位づけ、そして法務・調達・事業部門などセキュリティ以外の部門と協力して取り組むことだ。まず着手すべきは、自社のシステムや工場の制御機器、扱う情報や取引先といった構成を把握することだ。何がどこにあるかが分からなければ、守るべき対象も、失われたときの影響も見えない。多数ある工場資産全体の把握は簡単ではないため、資産情報を収集するツールや仕組みを既存環境やプロセスに組み込むことが重要である。
次に問うべきは、それらが事業にとってどれだけ重要かである。製造レシピ情報が漏れることは、特定事業の供給責任や競争力が損なわれることを意味する。さらに化学メーカーでは、プラントの制御機能が侵害されれば、生産停止にとどまらず人命や周辺環境を脅かす安全上の事故に直結しかねない。こうした事業インパクトを物差しに、「止まれば供給責任を果たせない事業」「漏れれば競争力を損なう情報」「事故につながる制御系」といった観点で、どのシステムや取引先のリスクが高いかを整理する。重要な点は、セキュリティインシデントによって引き起こされる影響と「事業リスク」を紐づける基準作りである。
そして優先順位を描けても、それを誰が担いどう業務に落とすかが決まらなければ、対策として前に進むことは難しい。有効なのは、サイバーセキュリティを特別扱いして専用のガバナンスを立ち上げるのではなく、すでに各企業が回している全社リスクマネジメントやBCPの中に組み込むことだ。事業に紐づくリスクはその事業部がオーナーとなって引き受け、セキュリティ部門は支援役・翻訳役に回る。こうして初めて、優先順位が机上の整理で終わらず、各部門の業務の中で動き出す。
この際に重要なのは、セキュリティと既存業務の懸け橋となる役割を作ることである。セキュリティの知識や必要性の理解を持ちながら事業側の言葉で語ることができる立場はガバナンスの実現性を高めるために不可欠である。
支えるのは経営のリーダーシップ
最後に、この仕掛けを起動できるのは経営層だけだ。どの事業リスクを優先するかをビジネスの言葉で定め、事業部門・工場・法務・調達・危機管理・セキュリティ部門が同じ判断基準で動くようにすることは、現場の号令ではなく経営自身の意思決定である。可視化から優先順位づけ、そして各部門での実行へ、この一連を経営が旗振りして回し続けることが、戦略物資を支える企業の責任を果たす備えそのものになる。
