「サイバーセキュリティ」という見出しを見て「重要かもしれないが、自分には関係ない」と記事を読み飛ばしていないだろうか。セキュリティ対策の入り口は、サーバや情報システム部の中だけにあるわけではない。共有ID、古いアクセス権限、止め忘れたアカウント、未承認の生成AI――こうした入り口は、売り場、商品、営業、人事、経理、店舗開発などの日常業務から生まれる。
日常業務に潜む5つの落とし穴
サイバーセキュリティは、誰が情報を扱い、誰に権限を渡し、どのサービスを使うかという、すべての会社員に関わる問題である。日常の中小企業務にひそむ、攻撃者に狙われる「隙」を具体的に例示しながら、必要な対策について考えてみたい。
1.忙しい日の「今日だけ共有ID」
セール初日、店舗の応援業務に来た従業員がレジ関連のシステムにログインできない。個人アカウントを用意する時間はなく、店長は店舗の共有IDとパスワードを伝える。目の前にはレジを待つ客がいる。業務を止めないための現実的な判断である。
しかし、そのIDで問題が起きても、誰が操作したのかを特定できない。パスワードがどこまで広がったのかも分からなくなる。「今日だけ」の例外が、管理できない「事後の入り口」を残すことになるのである。
2.社内システムの画面をスマホで撮り生成AIに分析させる
「売り上げや在庫を分析して、店舗の売り上げを伸ばしたい」。しかし、社内システムからデータを出力し、分析用に加工するには手間がかかる上、ノウハウが必要である。
そこで担当者は、商品別の売り上げや在庫が表示された画面を私物のスマートフォンで撮影し、画像を個人で利用している生成AIに読み込ませる。担当者に情報を持ち出す意図はない。目的は、日常業務を効率化することである。
しかし、撮影した画面には、店舗別売り上げ、商品原価、在庫数、従業員名などの機密情報が含まれている可能性がある。会社が承認・管理していない生成AIに画像を入力すると、どの情報が、どのサービスへ送信されたのかを会社側で判別できない。このような未承認の生成AI利用は「闇AI」と呼ばれる。問題は、新しい技術を使ったことではなく、必要な分析を正規の方法ですぐに行えず、安全に使えるAIも用意されていないため、業務上の必要性から管理外の利用を生んでしまっていることである。
DX成功の鍵は「ガッカリしない」取り組み
デジタル技術を用いて業務改善を目指すDXの必要性が叫ばれて久しい。しかし、たまには形ばかりの残念なDX「ガッカリDX」であぶれている。とりわけ、人手不足が深刻な中小企業でDXを成功させるには、どうすればいいのか。長年、中小企業のDX支援を手掛けてきた郡司昇氏が解説する。
郡司氏は20代で株式会社を作りドラッグストア経営。大手ココカラファインでドラッグストア・保険調剤薬局の販売統合プロジェクト後、EC事業会社社長として事業の骨格化を達成。同時に、全社直轄戦略であるマーケティング戦略を策定・実行。現職は中小企業・IT業界向けのアドバイザーとして、直近体感による収益向上を支援。「日本オムニチャネル協会」シニアフェロー Nextリテール分科会リーダーなどを務める。
