「日本のセキュリティは世界最悪」らしい。うん、現場を見てると否定できない

あるハッカー集団が「日本のセキュリティは世界最悪だ」と言っていたそうです。そんな大げさな、と笑えればよかったんですが。

今日は皆さんに提言と現状はこうですという報告になります。
過去の、そして今まさに進行中の経験談。ある組織の実情報告です。

発端：サポート切れのWordPressを使い続けている

サイトを運営している。中身はWordPress。ただし、バージョンが古い。サポート対象外のバージョンです。

セキュリティの更新が止まっているものを、インターネットに公開したまま動かしている。これは、玄関の鍵が壊れたまま営業しているのと同じです。

なので、「アップデートすべきです」と提言しました。口頭だけじゃなく、資料と見積もりも添えて。

結果は──スルー。

これ、今回のキーワードその1です。難しいこと、分からないことは、経営陣はスルーする。悪気はないんでしょう。でも、分からないから後回し、が一番危ない。

再提言：「資料を出してほしい」……出してますよね？

さすがにまずい。時間が経っても返答がないので、あらためて警告しました。

返ってきた言葉が、「資料を出してほしい」。

資料、前に出してますよね。見積もりも付けて。（と、心の声）……はい、分かりました。出します。

その場で緊急に資料を作り直しました。ここはAIエージェントの出番で、瞬時に資料ができた。これは本当にAIのおかげです。しかも「初心者にも分かりやすく」と条件を付けて作らせたので、専門用語なしの、とても分かりやすい資料になりました。すぐに提出。

そして返ってきた答え：「来月の会議にかけます」

帰ってきた答えが、これです。

「ありがとうございます。この資料をもとに、来月の会議にかけます」

唖然としました。

例えるなら、水害で社屋が沈みかけている状況です。「今すぐ何か手を打たないとまずい」と報告したら、「分かりました、報告書を出してください」と言われ、報告書を出したら「それをもとに来月の会議にかけます」と返ってくる。

その頃、社屋は水の底ですよね。

緊急時に「ほうれんそう」はないでしょう

日本の組織には「報告・連絡・相談」、いわゆるほうれんそうの文化があります。それ自体は悪くない。平時の仕組みとしては優秀だと思います。

でも、緊急時にほうれんそうをやっている。こういうことをやっているから、「日本のセキュリティは世界最悪」と言われるんじゃないでしょうか。

今回のサブテーマは、この3つのキーワードです。

1. スルー
2. 資料を出して
3. 会議にかけます

何でもかんでも会議にかけるのは、責任を分散したいから？

なぜ会議にかけるのか。責任を一人で負えないから、みんなで責任を共有するために会議にかける。稟議書を出す。

仕組みとしては理解できます。でも、セキュリティの話は「誰の責任か」より「いつ対処するか」のほうが圧倒的に重要です。

おわりに：平時の対処か、緊急時の対処か、見極める

皆さんの会社がこうならないように、ひとつだけ。

セキュリティの案件が上がってきたら、まず「これは平時の対処なのか、緊急時の対処なのか」を見極めてください。緊急時なら、会議を待たずに行動を変える。それだけで、沈む前に手が打てます。

報告・連絡・相談もいいんです。でも、緊急時にほうれんそうはないでしょう。

以上、現場からの実態報告でした。