セキュリティ投資を却下する経営層／パッチを拒む事業部門｜現役CISOが語る「人為的ジレンマ」を攻撃者はこう突く

「セキュリティへの投資はコストだ」と却下しておきながら、いざ事故が起きると「なぜ防げなかったのか」と現場だけに責任を求める。あるいは、業務が止まるからとパッチ適用を先延ばしにする事業部門。こうした組織の内側にある摩擦は、技術的な脆弱性以上に攻撃者にとって都合のよい「入口」になります。

2026年6月、ITmediaに現役のCISO（最高情報セキュリティ責任者）が、セキュリティ投資の拒絶と有事の責任転嫁という「人為的ジレンマ」を取り上げた記事が掲載され、現場で長く語られてきた問題に改めて光が当たりました。この記事では、その組織・意思決定に潜むジレンマを「攻撃者ならどこを突くか」という視点から読み解き、中小企業の情シスでも明日から手を打てる対策まで具体的に解説します。脅威を煽るためではなく、正しく構造を理解して正しく備えるためのものです。

「人為的ジレンマ」とは何か｜技術ではなく組織が抱える穴

サイバー攻撃というと、ゼロデイ脆弱性やランサムウェアといった「技術の話」が真っ先に浮かびます。しかし実際のインシデント対応の現場で何度も足を引っ張るのは、技術そのものより組織の意思決定にまつわる摩擦です。今回ITmediaで現役CISOが指摘したのは、まさにその「人為的なジレンマ」でした。

ここでいうジレンマは、おおむね次の3つの構図に整理できます。

・投資の拒絶: セキュリティ対策の予算要求が「直接の売上を生まない」という理由で削られる。経営判断としては理解できる面もありますが、削った分のリスクは消えずに現場へ残ります。
・責任の転嫁: 平時には投資を絞っておきながら、有事になると「なぜ止められなかったのか」と担当者だけが詰問される。意思決定者の責任が抜け落ちる構図です。
・運用の抵抗: パッチ適用や設定変更が「業務が止まる」「面倒だ」という理由で事業部門に拒まれ、既知の穴が放置される。

いずれも、攻撃ツールを一行も書かなくても発生する「人の問題」です。そして厄介なのは、これらが組織図やセキュリティポリシーの文書には決して現れない点にあります。外形上は対策をしているように見えても、内側の合意形成が崩れていれば防御は機能しません。

この問題が根深いのは、関わる誰もが「自分は正しい判断をしている」と考えている点にあります。経営層は限られた予算を売上に直結する事業へ振り向けようとし、事業部門は目の前の業務を止めないことを優先する。それぞれの立場では合理的な判断が、組織全体で見ると守りの穴になっている。悪人がいないのに穴だけが生まれる、というのが人為的ジレンマの本質です。だからこそ「誰かを処罰すれば直る」という発想では解決せず、組織の意思決定そのものを設計し直す視点が要ります。攻撃者はこの「悪人不在の穴」が長く放置されやすいことを、経験的によく理解しています。

攻撃者は「組織の温度差」をこう突く

攻撃者の視点に立つと、企業を守る壁のうち最も低い部分を探すのが定石です。その「最も低い部分」は、しばしばファイアウォールの設定ミスではなく、組織内の温度差そのものに現れます。

1. 放置された既知の脆弱性を狙う

事業部門の抵抗でパッチ適用が遅れているサーバーは、攻撃者にとって格好の標的です。攻撃の多くは未知のゼロデイではなく、すでに修正パッチが出ている既知の脆弱性を悪用します。「いつか直す」が積み重なった環境は、攻撃者から見れば「鍵をかけ忘れた裏口が並んだ家」に等しい状態です。

パッチ適用が遅れる原因が技術ではなく社内調整にある、という事実は、攻撃者にとっても織り込み済みです。四半期末や繁忙期など「業務を止めたくない時期」を狙えば、防御側が動きにくいことまで計算に入ります。

2. 投資不足が生む「監視の空白」を突く

セキュリティ投資が絞られると、真っ先に削られがちなのがログ監視や検知の仕組みです。侵入を防ぐ壁は予算がつきやすい一方、「侵入された後に気づくための仕組み」は成果が見えにくく後回しにされます。

攻撃者はこの空白を理解しています。侵入後に長期間潜伏し、ゆっくりと内部を偵察する「滞留」の手口は、検知の目が薄い組織ほど成立しやすくなります。被害が発覚した時にはすでに情報が抜かれた後、というケースの背景には、投資判断のしわ寄せが潜んでいることが少なくありません。

厄介なのは、監視への投資が削られても、平時には何の問題も起きないように見える点です。事故が起きていない間は「ログ監視がなくても困っていない」という結論になりがちで、削減がさらに正当化されてしまいます。しかし、それは安全だからではなく、侵入されても気づけていないだけかもしれません。検知の仕組みは、事故が起きて初めて「あって良かった」と分かる保険のようなものです。攻撃者にとって、この「見えていないことを安全と取り違える」組織心理ほど、付け入りやすいものはありません。経営層に監視投資を説明するときは、この「気づけない怖さ」を事業の言葉で伝えることが鍵になります。

3. 責任の所在が曖昧な領域に入り込む

「これは情シスの管轄か、事業部門の管轄か」がはっきりしないシステムは、誰も責任を持って守らない無人地帯になります。クラウドサービスの設定、退職者のアカウント、部門が勝手に契約したツール。こうした「誰の担当でもない」領域は、組織の温度差がそのまま放置として現れた結果であり、攻撃者が好んで足がかりにする場所です。

組織内のジレンマ	攻撃者から見た「すき」	典型的な悪用パターン
パッチ適用の先延ばし	既知の脆弱性が放置されている	公開済みの攻撃コードで侵入
監視・検知への投資不足	侵入に気づく仕組みが薄い	長期潜伏・内部偵察・情報持ち出し
責任範囲の曖昧さ	誰も守らない無人地帯がある	放置アカウント・設定不備の悪用
有事の責任転嫁の文化	担当者が報告をためらう	初動の遅れ・被害拡大

最後の行は見落とされがちですが重要です。「失敗を報告すると責められる」文化があると、担当者は異変に気づいても声を上げにくくなります。インシデント対応で最も大切な初動が、組織の心理的な摩擦で遅れる。これも立派な「人為的な穴」です。

攻撃シナリオで見る「組織の穴」の連鎖

具体的に、これらの穴がどう連鎖して被害につながるのかを、架空の中小企業を例にたどってみます。これは特定の事件ではなく、現場でありがちなパターンを組み合わせた説明です。

ある会社では、半年前に公開された業務システムの脆弱性パッチが、繁忙期を理由に未適用のまま放置されていました（運用の抵抗）。攻撃者は公開済みの攻撃手法を使い、この既知の穴から侵入します。本来なら侵入の痕跡が検知されるはずですが、ログ監視への投資が後回しにされていたため、誰も気づきません（投資不足による監視の空白）。攻撃者は数週間かけて内部を偵察し、退職者のアカウントがまだ生きていることを発見します。このアカウントは「人事の管轄か情シスの管轄か」が曖昧で、誰も無効化していませんでした（責任範囲の曖昧さ）。

侵入の途中で、ある社員がうっすら異変に気づきます。しかし「報告して大事になったら自分のせいにされる」と考え、口をつぐみました（責任転嫁の文化）。結果として発覚が遅れ、情報が持ち出された後に被害が判明します。注目すべきは、この一連の流れに高度なゼロデイ攻撃が一つも登場しないことです。すべて、組織の内側にあった人為的な穴の連鎖で成立しています。攻撃者は技術力を誇示したいのではなく、最も安く確実に目的を達したいだけなのです。

なぜ経営層と現場の溝は埋まらないのか

このジレンマを「経営層が悪い」「現場の説明が下手だ」と一方を責めても解決しません。溝が生まれる背景には、双方にとって無理からぬ事情があります。

経営層から見れば、セキュリティ投資は効果が見えにくい支出です。事故が起きなければ「何も起きなかった」だけで、投じた費用が成果として可視化されません。一方で現場は、リスクを技術用語で語りがちで、それが経営判断に必要な「事業への影響」という言葉に翻訳されないまま終わります。脆弱性の深刻度を示すスコアを並べても、経営層が知りたい「いくらの損失につながるのか」には答えていないのです。

つまり溝の正体は、悪意ではなく「言語の不一致」です。現場はリスクを技術で語り、経営は投資を事業で判断する。この翻訳がうまくいかない限り、投資は通らず、責任だけが宙に浮き続けます。攻撃者はこの構造的な不一致が長く解消されないことを知っていて、腰を据えて狙ってきます。

責任転嫁が組織に残す「見えない傷」

有事に担当者だけが責められる文化は、その一回の事故だけでなく、組織に長く尾を引く傷を残します。一度「報告したら損をする」と学習した社員は、次に異変を感じても黙るようになります。優秀な担当者ほど、責任ばかり重く権限と予算が伴わない環境に見切りをつけて離職します。こうして守りの知見が組織から失われ、防御はさらに弱くなる。攻撃者にとっては、時間が経つほど狙いやすくなる構図です。

逆に言えば、投資判断は経営の責任、運用は現場の責任、という分担を平時に明文化しておくだけで、この悪循環の入口を塞げます。意思決定の記録を残すことは、誰かを糾弾するためではなく、有事に冷静な振り返りと再発防止を可能にするための備えです。攻撃者が突きにくい組織とは、技術が完璧な組織ではなく、失敗から学び続けられる組織だと言い換えてもよいでしょう。

Before / After｜ジレンマを設計し直すと何が変わるか

同じ予算規模でも、組織の合意形成を整えるだけで守りの強さは大きく変わります。よくある状態と、設計を見直した後の状態を対比してみます。

観点	Before（ジレンマが放置された状態）	After（設計を見直した状態）
投資判断	技術用語で説明され、コストとして却下される	事業影響で語られ、リスクとして判断される
パッチ適用	その都度交渉し、業務優先で先延ばし	緊急度別の適用期限を事前合意済み
責任の所在	有事に担当者だけへ流れる	投資は経営・運用は現場と明文化
報告文化	失敗を隠し、発覚が遅れる	早期報告を評価し、初動が速い
攻撃者から見て	狙いやすく、潜伏しやすい	穴が少なく、気づかれやすい

注目したいのは、After欄に「高価な製品を導入する」が一つも含まれていない点です。組織のジレンマを解く鍵は、追加の支出ではなく合意の設計にあります。だからこそ、予算の限られた中小企業にとっても現実的な打ち手になります。

中小企業でも今日からできる「人の穴」のふさぎ方

潤沢な予算や専任のCISOがいなくても、組織のジレンマを小さくする打ち手はあります。情シスが1人、あるいは兼任という体制でも踏み出せる順に整理します。

1. リスクを「事業の言葉」に翻訳する

経営層に伝えるときは、脆弱性の技術的な深刻度ではなく「この穴が突かれると、何日業務が止まり、いくらの売上機会と信用を失うか」を軸にします。CVSSスコアではなく、復旧にかかる日数、取引先への影響、想定される賠償といった事業の言葉に置き換えるだけで、投資判断のテーブルに乗りやすくなります。

2. パッチ適用のルールを「事前に」合意しておく

インシデントが起きてから事業部門と交渉するのでは遅すぎます。「緊急度の高い脆弱性は何日以内に適用する」「適用に伴う業務停止は誰が判断する」というルールを、平時のうちに文書で合意しておきます。その場の力関係で先延ばしされる余地を、あらかじめ減らしておくのが狙いです。

3. 「報告しても責められない」空気をつくる

異変に気づいた人がためらわず声を上げられるかどうかは、初動の速さを左右します。「不審なメールを開いてしまった」と正直に報告した人を責めない、むしろ早期報告を評価する。この文化づくりは予算ゼロで始められて、効果は大きい対策です。

4. 責任範囲の「地図」を一度つくる

どのシステムを誰が守るのか、クラウドサービスの設定は誰の責任か。完璧でなくてよいので、一覧表として一度可視化します。無人地帯を見つけること自体が、攻撃者に先回りする第一歩になります。退職者アカウントの棚卸しもこのタイミングで仕組み化しておくと、放置による事故を確実に減らせます。

5. 小さく始めて「成功体験」を経営層と共有する

いきなり大規模な投資を求めても通りません。まずは予算ゼロ、あるいは少額でできる対策を実行し、その結果を経営層に見える形で報告します。「退職者アカウントを30件無効化し、不正利用のリスクをこれだけ減らした」といった具体的な成果は、次の投資判断への信頼の土台になります。セキュリティ部門が「コストを使うだけの部署」ではなく「リスクを着実に減らす部署」だと認識されれば、投資の議論はぐっと前に進みます。攻撃者に先回りするには、組織内の信頼を少しずつ積み上げる地道さが効いてきます。

クラウド環境の権限設計や責任分界については、姉妹サイトクラウドマスターズ.TOKYOでも実務目線で解説しています。また、Linuxサーバーの権限管理やログ監視の基礎は、姉妹サイトLinuxMaster.JPで詳しく扱っています。

よくある誤解と注意点

このテーマを扱うときに陥りやすい誤解を整理しておきます。

・「高価なツールを入れれば解決する」: 製品導入は有効ですが、運用や合意形成という人の問題が残ったままでは、ツールの能力を活かしきれません。穴の本質が組織にある場合、技術だけでは塞げません。
・「経営層を説得できないのは現場の力不足」: 一方的な精神論にしないことが大切です。翻訳の仕組みを組織として用意する話であり、個人の頑張りに依存させると再発します。
・「大企業の話で、うちには関係ない」: むしろ専任担当のいない中小企業ほど、責任範囲の曖昧さや投資の後回しが起きやすく、攻撃者から見れば狙いやすい対象です。

よくある質問（FAQ）

Q. セキュリティ投資を経営層に認めてもらう一番のコツは?

技術的な深刻度ではなく「事業への影響」で語ることです。業務停止の日数、想定損失額、取引先や顧客への影響といった、経営判断に直結する言葉に翻訳すると通りやすくなります。

Q. パッチ適用を事業部門に拒まれます。どうすれば?

その場で交渉するのではなく、平時に適用ルールを文書で合意しておくのが有効です。緊急度に応じた適用期限と、業務停止を伴う場合の判断者をあらかじめ決めておけば、先延ばしの余地が減ります。

Q. 専任のセキュリティ担当を置く余裕がありません。

専任がいなくても、責任範囲の可視化、報告しやすい文化づくり、適用ルールの事前合意は予算をかけずに始められます。まずは「誰も守っていないシステム」を見つけるところからで十分効果があります。

Q. インシデントが起きたとき、担当者だけが責められるのを避けるには?

平時から「投資判断は経営、運用は現場」という責任分担を明文化しておくことです。意思決定の記録を残しておけば、有事に責任が現場だけへ流れる事態を防ぎやすくなります。

Q. 攻撃者は本当に組織の内情まで把握しているのですか?

個別企業の社内事情を逐一知っているわけではありません。ただ「業務優先でパッチが遅れがち」「監視は後回しにされがち」といった一般的な傾向は熟知しており、繁忙期を狙うなど、組織が動きにくい状況を計算に入れて攻撃してきます。

Q. ツールの導入と組織の見直し、どちらを先にやるべきですか?

順序に正解はありませんが、組織の合意形成が崩れたままでは、どんなに優れたツールも運用で形骸化します。検知ツールを入れてもアラートを誰も見ない、では意味がありません。まずは責任範囲の可視化や報告文化づくりといった土台を整え、その上で必要なツールを足していくと、投資が無駄になりにくくなります。

本記事のまとめ

セキュリティの最も弱い部分は、ファイアウォールの設定ではなく組織の内側にある摩擦に現れることがあります。投資の拒絶、有事の責任転嫁、運用の抵抗という「人為的なジレンマ」は、攻撃者にとって見つけやすく突きやすい穴です。

大切なのは、この問題を誰かを責めるための材料にせず、組織の設計課題として捉え直すことです。リスクを事業の言葉に翻訳し、パッチ適用のルールを事前に合意し、報告しやすい空気をつくり、責任範囲を一度地図にする。どれも予算の多寡に関わらず始められて、攻撃者に先回りする確かな一歩になります。技術の穴は製品で塞げますが、人の穴を塞げるのは組織の合意だけです。正しく構造を理解して、正しく備えていきましょう。