日本人にも影響が大きかった公共インフラトラブル
7月中旬、日本人や日本企業の多くが影響を受けるインシデントが二件立て続けに発生しました。一つは7月19日頃から影響が生じ始めた世界的なコンピューターシステムの不具合。もう一つは7月22日に発生した東海道新幹線（浜松―名古屋間）の終日運休。インターネットの世界と公共交通機関と、それぞれジャンルは異なるものの両者とも、日常生活や事業活動の前提となっている基幹インフラで発生した大規模な障害でした。読者の皆様にも影響を受けて移動が困難になったり、金融サービスを利用できなくなったりした方がいらっしゃるように思います。
なぜここまで混乱が拡大したのかを今一度考えてみましょう。前者は米国に拠点を置くサイバーセキュリティ大手企業、クラウドストライク社のアップデート不具合によるものでした。たったの一社によるトラブルではあったのですが、全世界で影響を受けた端末の数はなんと850万台にも上ると推計されています。これは、過去最大級のコンピューターウイルス被害（約23万台）と比して約40倍ですからインパクトは甚大だったことが数字上も明確です。なぜここまでクラウドストライク社による不具合が数多くの端末に影響したのか。それはクラウドストライク社が米国政府や公的機関からの受注実績をてこに、航空や金融といった社会インフラを支える大企業群にサービスを提供していたからです。世界全体の人やお金、情報の移動を支える企業群の裏側にいたたった一社のトラブルが世界に拡散してしまった事例といえるでしょう。
日本国内に影響は限定されますが、JR東海の東海道新幹線運休も「たった一社」の失敗が甚大な影響を及ぼした事例であることには間違いありません。終日運休していたのは浜松と名古屋の約110キロ。日本の大動脈である東京―大阪間の約5分の1が止まるだけで、東西の往来が大混乱する結果となりました。ビジネスが活発化する月曜日に東京―大阪間の直行新幹線がなくなったことで代替移動手段を探さざるを得なかった方が多数いらっしゃったはずです。
新幹線と同じ東海道を在来線で移動するルート、空路で羽田/成田―伊丹/関空間を移動するルート、あるいは北陸を回って北陸新幹線等を活用したルートなどが22日にはテレビやSNS等でも紹介されていました。ただ、いずれもキャパシティは東海道新幹線と比して小さく代替が十分だったとは言えません。JR東海という民間企業の、それもたったの100キロ程度の区間が運休になるだけで（さらに言えば、運休の原因は線路保守作業の一か所での衝突事故でした）丸一日日本の経済の大動脈が途切れるのですから、改めてその依存ぶりが明確になったといえますね。
「一社依存」を避けるためにセカンドオピニオンや代替委託先を常に用意しておく
こうした事例からうかがえるのは、生活や業務の重要な機能や工程を特定の企業/サービスに依存することのリスクです。人為的なミスや不注意が原因であれ、不可抗力の事象が原因であれ、トラブルが発生した場合にはその機能や工程を活用した皆さんの経済活動も止まるからです。こうした事態に対応するためには、皆さんご自身が「バックアップ」を確保することが不可欠です。たとえその機能や工程を大きな会社がほぼ独占していたとしても、最低限の代替手段を用意しておくことが重要です。それがいわゆるクリティカルパスと呼ばれる、必ず行う作業や移動ルートであればなおさら。
こうしたクリティカルパス部分を一社に依存してしまうと、その企業・団体はその一社の動きにビジネス上の生殺与奪を握られてしまっているといっても過言ではありません。クラウドストライク社にせよ、JR東海にせよたしかに代替の余地は小さいのかもしれませんが、それでも万が一に備えて第二案、第三案を迅速に用意できた企業・団体は危機管理が一枚上手だといえるでしょう。これをBCPと呼ぶか、レジリエンスと呼ぶかはさておき、バックアップの重要性を痛感させられた二つの出来事だったといえます。主要な取引先やルートでトラブルが発生した際に、影響をゼロにはできなくてもトラブルを想定して、二社目、三社目を用意しているか、代替ルートを想像したことがあるか、だけでも組織としての対応力は変わってきますよね。
こうした危機的状況はなにも電子機器やシステム、あるいは移動手段だけで起こるというものでもありません。例えば、治安に関連する情報収集を行う場合も大手一社、あるいは一人のアドバイザーに依存することはおススメできません。極端な事例を挙げるとすれば、今ロシア側からもウクライナ側からも、パレスチナ側からもイスラエル側からも内部情報をとれるような人材は存在しないからです。どんなセキュリティ企業であれ、情報収集の専門家であれ得手不得手や人脈の偏りはあります。そしてクライアント企業側、とくに日本の企業や団体から見れば本当に安全対策に役立てたい重要な情報ほど、一社からだけでなく、複数の情報源、複数の見方を比較しなければならないのです。この点で、一社しかセキュリティ会社を知らない、情報提供会社を知らないという状態は、クリティカルパスを一社に依存してしまうのと似ています。
例えば
運転資金を複数の銀行から借り入れるように、
外国との取引があるなら、ドルやユーロ、イギリスポンドなど複数の通貨でぶんさんしてリスクヘッジをするように、
サプライチェーンを構築する際に複数の国・地域にまたがった複数社から原料・材料を仕入れるように
情報収集や危機管理のアドバイスも一社依存ではなく、複数のセキュリティコンサルタント会社とお付き合いしておくことを推奨します。情報源のポートフォリオを持ち、自分たちの会社/組織として情報を統合、分析することができるようになれば、安全管理の「組織文化」化も一歩前進ですね。
この項終わり
