英国国防相が、近所の店舗がサイバー攻撃を受け、レジでカード決済ができなくなった場合に、適切に対処できるかと問いかけているのであれば、その警告に耳を傾ける必要があります。
今週、英国国防相のウェス・ストリーティング（Wes Streeting）氏は、家庭と企業の双方に対し、サイバー攻撃や異常気象、敵対的な国家による混乱に備える必要があると警告しました。この発言を過度に危機感をあおるものと受け止めた人もいるかもしれません。しかし、私は現実的なリスクを改めて認識するための、妥当な指摘だと考えています。
こうしたリスクは、決して新しいものではありません。企業の経営陣が懸念すべきなのは、複数のリスクが同時に発生するケースが増え、しかも十分な予兆がないまま事態が起きていることです。今年の夏に発生した森林火災、今冬に予想される洪水、そしてインターネットの広範なシステムを支えるプログラミング言語で発見された重大な脆弱性。これらは、わずか数か月の間に相次いで発生しました。この脆弱性だけでも、英国政府の32のサービスが停止する事態となりました。
ストリーティング国防相はまた、AIによって攻撃者が従来の防御策を突破する新たな手段を得ていることにも言及しました。企業がこの問題を改めて真剣に受け止めるべき理由の一つです。先月には、英国会計検査院（NAO）も、英国の食品サプライチェーンが感染症の発生、サイバー攻撃、異常気象などのリスクにさらされており、その強靱性を高めるための対策が十分に進んでいないと警告しています。
ここで、企業にとって答えにくい質問があります。もし明日、重要なサプライヤーの一社が突然操業を停止した場合、1時間以内にその事実を把握できるでしょうか。そのサプライヤーが、さらにどの企業に依存しているかを把握しているでしょうか。そして、十分に把握できていると確信しているのであれば、それを裏付ける客観的な根拠を示せるでしょうか。
レジリエンス（事業の強靱性）が確保されていると信じることと、それを実際に証明できることの間には、大きな隔たりがあります。そして、その隔たりこそが企業にとってのリスクとなります。パンデミックの際に最後に開かれたまま、共有ドライブに保存されている事業継続計画は、実効性のある備えというよりも、安心感を得るためのものにすぎません。サプライヤーにサイバーセキュリティ方針の有無を尋ね、「はい」という回答だけで十分と判断するアンケートも、実際に問題が発生した際に何が起こるのかを知る手掛かりにはほとんどなりません。
LRQAは、サイバーセキュリティ、食品安全、責任ある調達、事業継続など、さまざまな分野で、組織の仕組みが本当に必要な場面で機能するかを確認できるよう支援しています。こうした経験から得られる教訓は、常に共通しています。レジリエンスは、危機が発生するずっと前から構築しておかなければならないということです。そのためには、自社がどのサプライヤーや関係者に依存しているかを正確に把握し、利害関係に左右されない独立した第三者によって検証された、実効性のある管理体制を整える必要があります。
今回の警告に関する報道の多くは、家庭での備えに焦点を当てています。英国政府の「Be Ready」キャンペーンでも、家庭に3日分の備蓄品を用意するよう呼びかけています。これは妥当な対策ですが、個人や家庭だけで備えられることには限界があります。店舗に商品が十分に並び、レジでカード決済が問題なく利用できるかどうかは、政府の政策と人々の日常生活をつなぐ企業の対応力にかかっています。英国政府は、危機的な状況でも国内のサプライチェーンが機能し続けることを目指しています。しかし、その目標を実現できるかどうかは、最終的には企業の取り組みにかかっており、その責任は私たち企業にあります。
ストリーティング国防相のメッセージは、過度に不安になるのではなく、警戒を怠らないことです。私もその考えに同意します。ただし、企業のリーダーには、もう一つ重要な言葉を加えたいと思います。それは「説明責任（アカウンタビリティ）」です。顧客や、自社の製品・サービスに依存する地域社会の人々は、企業がこうしたリスクに適切に備えていると信頼しています。次の混乱は必ず訪れます。問われるのは、そのときに備えられているか、そして、その備えを客観的な根拠によって証明できるかどうかです。