画像：TBS NEWS DIGの会見動画の静止画をもとに加工
GMOのサイバー攻撃に関する会見を見て、考えさせられた。
2024年に社内の専門家から問題を指摘され、対策も行っていた。それでも十分な改善にはつながらず、今回の被害が起きた。熊谷代表は会見で、事前の指摘について自身には報告が上がっておらず、事件が起きてから知ったと説明している。会見動画
この説明を聞いて、私はトップの責任と、組織の中で情報や判断がどう動いていたかを、分けて考える必要があると感じた。
専門家の警告を、誰が経営判断につなぐのか
もちろん、トップには組織を管理する責任がある。ただ、今回の問題を「トップの判断が悪かった」という一言で片付けてしまうと、組織の中で何が起きていたのかを見失う気がする。
専門家の警告を受けた人は、その重大さをどう理解したのか。対策を進める人は、何をもって十分だと判断したのか。現場で解決できない問題を、誰が経営に上げるべきだったのか。
その間をつなぐ中間管理職の役割に、問題があった可能性はないだろうか。あるいは、個人の能力だけでなく、重大な問題を上に伝えにくい企業文化や、既存の業務を止める判断の難しさが影響したのかもしれない。
山下副社長は質疑応答で、サービスの安定稼働や他の対応との優先順位を考えて進めていたこと、4回のメンテナンスで一定の対策ができていると考えていたものの、リスク分析に誤りがあったという趣旨を説明している。会見動画
現時点では、誰にどんな判断上の問題があったのかは分からない。それでも、検証すべきなのは、この情報と判断の流れだと思う。
組織を強くするには時間がかかる
当社の規模でも、ガバナンスを効かせるのは難しい。
経営者が方針を伝えたからといって、全員が同じ深さで理解し、同じ優先順位で動けるわけではない。8,000人規模のグループになれば、専門家の判断を現場の行動に変え、その結果を確かめるまでの距離は、さらに長くなるだろう。
人を育て、管理職の判断力を高め、報告の仕組みを整え、それを日々の行動に定着させる。組織を強くするには時間がかかる。
一方で、AIの進歩は速い。
人と組織の成長は、AIの進歩に追いつけるか
今回の攻撃にAIがどこまで使われたかとは別に、攻撃する側もAIによって能力を高められる時代になった。
私には、この構図が「人と組織を強化するために必要な時間」と「AIが進歩する時間」の競争に見える。
攻撃する側は、少人数でも目的と技術を絞り込める。守る企業には、さまざまな専門性や経験を持つ人がいて、日々の業務もあれば、止められないサービスもある。全員を同じ水準の専門家にすることはできない。
企業の強さは、人数だけでは測れない。
大きな組織が持つ人材や資金も、それを必要な場所に、必要な速さで動かせなければ、十分な防御力にはならないのだと思う。
少数精鋭の専門家と、投資を決める経営者
これから必要なのは、AIを使いこなし、危険を見抜き、必要な対策を実行できる少数精鋭の集団だと思う。そして、その専門家の指摘を経営判断につなげる仕組みが必要になる。
優秀な人材を集めるだけでは足りない。警告が出たときに、事業への影響も踏まえて判断し、必要ならサービスを止め、改修に人と資金を振り向けられる経営者がいなければ、その能力は生かされない。
経営者自身が、すべての技術を理解することは難しい。それでも、専門家の警告の重さを理解し、判断に必要な情報を求め、投資を決めることはできるはずだ。
今回の会見を、当社も自分たちの組織を見直す機会にしたい。
重大な指摘は、誰に届くのか。誰が対応を決め、誰が完了を確認するのか。そして、その判断をどれだけ速く実行できるのか。
AIの進歩に向き合う経営には、少数精鋭の専門家と、その力を理解して素早く投資できる経営者の組み合わせが、これまで以上に求められるのだと思う。
