小売業のアルバイトで見えた、SME が見落としやすい Cybersecurity

最近、小売業でアルバイトを始めた。

自分にとっては少し新しい経験だった。これまで Cybersecurity に触れる場面は、ほとんどがコンピューターの前だった。問題を解いたり、検証環境を触ったり、レポートやツール、ドキュメントを通してリスクを理解したりすることが多かった。そのため、Security はテック企業、医療機関、金融機関、あるいは大規模な組織が日々向き合うものだと、どこか自然に考えていた。

しかし実際に現場に入り、店舗運営、業務用機器、接客、社内手順に関わるようになって、ひとつ気づいたことがある。

Security は最初からそこにある。ただし、それが必ずしも「Cybersecurity」という名前で現れるとは限らない。

それは共有アカウントの中にあるかもしれない。新人が通報すべきか迷う異常の中にあるかもしれない。長く使われているが、今も業務を支えている機器の中にあるかもしれない。あるいは、仕事を少しでも進めやすくするために生まれた日々の習慣の中にあるかもしれない。

現場教育で Security は主役になりにくい

見ている限り、多くの企業は業務運営を非常に重視している。

新人教育では、顧客対応の方法、機器の操作方法、営業上の損失を避ける方法、守るべき社内ルール、クレーム対応などを学ぶ。これらはどれも重要だ。現場の仕事には安定性と標準化が必要で、小さなミスでも顧客体験に影響することがある。

一方で、情報セキュリティがその教育の中心に置かれることは多くないように感じた。

たとえば、アカウントはどのように扱うべきなのか。なぜパスワードを共有してはいけないのか。不審なメッセージやメールを受け取ったとき、どう判断すればよいのか。不明な USB を接続してよいのか。個人情報が表示された画面を無関係な人に見せてよいのか。機器に異常があった場合、誰に通報すべきなのか。こうした点が、現場の教育で明確に説明されないことは珍しくない。

これは、企業が Security を軽視しているという意味ではない。

より正確に言えば、多くの組織は安全を業務ルール、営業秘密、社内規律、損失防止として理解している。しかし、Cybersecurity を全従業員が理解できる具体的な行動基準に分解できているとは限らない。

現在の小売業は、単に支払いを受け付けてレシートを渡すだけの仕事ではない。企業は日々、顧客情報、従業員情報、会員情報、取引情報、業務記録を扱っている。これらの情報は一見すると機密情報に見えないかもしれないが、不適切にアクセスされたり、漏えいしたり、誤用されたりすれば、現実の影響を生む。

だから考えるようになった。新人教育で商品、売上、サービス品質の守り方を教えるのであれば、データの守り方も教えるべきではないか。

古い環境そのものではなく、管理されていないリスクが問題

現場で働く中で、一部の業務用機器が比較的古い OS やソフトウェア環境で動いている場面も見た。

ただし、これを単純に「古いから危険」と言いたいわけではない。その言い方は粗く、現実にも合っていない。

業務用機器は、思い立ったらすぐに交換できるものではない。特定のハードウェア、特定のソフトウェア、専用の周辺機器、ベンダー保守、メンテナンス契約、運用コスト、停止できない業務などと結びついている場合がある。SME にとっては、最新版を追い続けることよりも、安定して動き続けることのほうが日々の現実に近い。

本当に重要なのは、それが新しいかどうかではない。

組織がそのリスクを理解しているかどうかだ。

たとえば、古い機器であっても、適切に分離されたネットワークに置かれ、必要なサービスだけが有効で、最小権限で運用され、更新方針があり、資産管理が行われ、ホワイトリスト、アンチウイルス、EDR、バックアップ、インシデント対応の流れが整っていれば、リスクは管理できる。

反対に、新しい機器であっても、全員が同じアカウントを使い、パスワードが長期間変わらず、通報窓口がなく、バックアップもなく、どこに接続されているか誰も把握しておらず、問題が起きたときの責任者も明確でなければ、それが安全だとは限らない。

Cybersecurity は、新しい機器を買えば終わるものではない。バージョンを上げれば完了するものでもない。

Security は、自分たちが何を持っているのか、それがどのようなリスクを抱えているのか、そして組織としてそのリスクにどう向き合うのかを継続的に把握する能力に近い。

以前は脆弱性を見ていた。今は習慣が見える

以前 CTF を学んでいた頃、私は問題を技術課題として捉えることに慣れていた。

Web サイトに脆弱性はあるか。プログラムのロジックに欠陥はあるか。バイナリは解析できるか。システムに弱点はあるか。何か問題を見つけると、自然に技術的な層へ深く潜っていった。

その訓練はもちろん重要だ。システムがどのように壊れるのかを理解できるようになったし、技術リスクをより厳密に考える力も身についた。

しかし実際の職場に入ると、日常でよく目にするリスクは必ずしも CVE ではなく、高度な攻撃技術でもないことに気づく。

むしろ多いのは、人の習慣だ。

便利だから、アカウントを共有する。

時間を節約したいから、手順を省略する。

誰かに迷惑をかけたくないから、異常をそのままにする。

早く仕事を終わらせたいから、そのデータの扱い方が適切かどうかを確認しない。

多くの攻撃が利用するのは、技術そのものではなく「便利さ」なのだと思う。

この気づきは、自分にとってかなり大きかった。Cybersecurity はエンジニア、セキュリティ担当者、経営層だけの責任ではない。システムを使い、データに触れ、機器を操作し、顧客情報を扱う人は、全員が Security の連鎖の一部になる。

不審な事象とは何かを教えられていなければ、通報するのは難しい。

個人情報がなぜ重要なのかを理解していなければ、守るのは難しい。

Security が「これをしてはいけない」「あれをしてはいけない」という禁止事項だけに見えていれば、現場の人にとっては仕事を遅くするルールにしか見えないかもしれない。

SME が補うべきなのは、全員をセキュリティ専門家にすることではない。各自が Security の中でどのような役割を持っているのかを理解できるようにすることだと思う。

責任ある Security Culture をつくる

私は Responsible Security Culture という考え方が好きだ。

これは、責任をすべて現場の従業員に押し付けるという意味ではない。何かが起きてから、誰が悪かったのかを探すという意味でもない。本当に責任ある Security Culture とは、従業員に十分な教育、明確なプロセス、妥当なツール、そして問題を通報しても不利益を恐れなくてよい環境を提供することだと思う。

たとえば、新人教育には次のような基本的な問いを入れられる。

アカウントとパスワードはどのように使うべきか。

不審なメッセージを見たとき、どうすればよいか。

個人情報はどこに表示してよいのか。

機器に異常がある場合、誰に連絡するのか。

不明な外部デバイスを安易に使ってはいけない理由は何か。

情報漏えいの可能性があると感じた場合、最初に何をすべきか。

これらは本格的なセキュリティ講義にする必要はない。脆弱性の悪用について話す必要もないし、攻撃手法を教える必要もまったくない。現場の仕事に近い、実践的な内容として、既存の SOP に組み込むこともできる。

重要なのは、通報は迷惑をかけることではなく、質問することは未熟さではなく、異常を認めることは失敗ではない、と従業員が理解できることだ。

台湾では、企業や公的機関が日々、大量のネットワーク攻撃、スキャン、詐欺、ソーシャルエンジニアリングのリスクにさらされている。こうした脅威は大企業だけを狙うわけではない。組織の規模が小さいからといって、自然に対象から外れるわけでもない。Digital Transformation によって業務がデジタルシステムに依存するほど、Security を日常管理の一部にする必要がある。

すべての企業がすぐに本格的なセキュリティチームを持てるわけではない。

しかし、どの企業でも始められることはある。資産を棚卸しする。権限を整理する。通報フローを作る。定期的にバックアップを取る。新人教育に Security を入れる。機器のリスクを確認する。どのような行動が情報漏えいにつながりうるのかを従業員に伝える。

これらは派手ではない。CTF の問題のように、きれいな答えがあるわけでもない。

それでも、とても現実的な Security だ。

最後に

小売業で働いたことで、Cybersecurity に対する理解が変わった。

以前の私は、Security を技術力の一種だと考えていた。今は、それが組織能力でもあると感じている。Security はセキュリティレポート、脆弱性スキャン、インシデント分析の中だけに存在するものではない。新人教育、機器管理、日々の習慣、通報文化の中にも存在している。

企業はサービスを重視できる。効率を重視できる。売上を重視できる。ブランドイメージを重視できる。

しかし、毎日データを扱っているにもかかわらず、従業員にそのデータの守り方を教えていないのであれば、Security は誰も完全には責任を持たない一方で、誰もが影響を与えうる空白地帯になってしまう。

これは特定の業界だけの問題ではないと思う。特定の企業だけの問題でもない。

Digital Transformation の後に、あらゆる組織がいずれ向き合うことになる問題だ。

私たちは毎日のように Digital Transformation について語っている。しかし Cybersecurity がなければ、変革はリスクをより速く動かすだけになってしまう。