サイバー攻撃は“経営の試練”となるのか？アサヒGHDが示した現代の危機対応

日本企業にとってサイバー攻撃は、もはや“想定外の災害”ではない。日々起こり得る経営リスクであり、避けて通れない課題だ。しかし、多くの企業ではサイバーリスクを依然として「IT部門の問題」として扱いがちで、その本質に踏み込めていないことが多い。

今回、アサヒグループホールディングス（以下、アサヒGHD）が受けたサイバー攻撃と、11月27日に開かれたアサヒGHDの勝木社長による記者会見は、この認識をあらためて問い直す重要な機会となった。

このコラムでは、アサヒGHDの記者会見を基に、リスクマネジメントの視点から、リスクマネジメント、事業継続性、ガバナンス、といった経営課題の本質について考えてみたい。

まず注目したいのは、アサヒGHDが決して無防備だったわけではないという点だ。ゼロトラストへの移行、NISTフレームワークに基づく成熟度診断、ホワイトハッカーの模擬攻撃……いずれも日本の大企業としては高いレベルの取組みであり、本来なら「十分な対策」が整っていたと判断してよい内容だといえる。それでも攻撃を受け、被害が生じた。ここには多くの企業が見落としている“盲点”がある。

リスクコンサルタントの視点で見ると、今回の本質的な教訓は「高度な事前対策」よりも、「破られた後にどう立ち向かうか」という“組織の余力”に関わる部分だといえる。どんなに優れたセキュリティでも、攻撃者が本気で狙えば突破される可能性はゼロではない。重要なのは、セキュリティが突破された瞬間、組織がどう振る舞えるかという点である。アサヒGHDが手作業で出荷を続けることができたのは、現場の柔軟性やオペレーション能力の高さに支えられていた。

一方で、長期間にわたる手作業は現場に大きな負担を強いた。勝木社長が「命を削って対応する必要はない」と繰り返し発信したことは、人のリスクを最も理解していたトップだからこその判断だろう。サイバーインシデントは技術的な問題のように聞こえるが、実際には“人の消耗”が最大のリスクになり得る。復旧作業が続く中で、社員の健康を守ろうとした経営判断は、リスクマネジメントの観点から見ても極めて重要だといえる。

また、今回の事案はアサヒGHDのERM（全社的リスクマネジメント）にも大きな影響を与えたように思う。同社はこれまでも、自然災害やサイバーリスクといった「中長期経営方針」の戦略遂行や目標達成を阻害し得る「重大リスク」を選定し、必要な投資を行いながら管理を進めてきた。しかし、それでも攻撃を食い止められなかったという事実は、「重大リスクを個別に列挙して管理する」という従来の手法だけでは限界があることを示しているのかもしれない。リスクは互いに影響し合いながら企業へ影響を及ぼすため、個別最適にとどまらない、横断的かつ全体最適を視野に入れたマネジメントが求められる。

さらに、勝木社長が語った「経営者はITに興味があるだけでは足りない」という言葉には、多くの日本企業が直面している本質的な課題が凝縮されているように思う。サイバー攻撃はシステムの話ではなく、サプライチェーン、ブランド、財務・金融、人的資本まで巻き込む“経営そのもの”の問題である。つまり、セキュリティはITの専門領域ではなく、経営者が深く理解し、判断し、優先順位を付けなければならない経営課題なのだ。

また興味深いのは、「脆弱性はないと思っていたところにあった」という点である。これは単にシステムの穴があったという意味ではなく、「組織として見えていなかった領域があった」という広い意味で捉えるべきだ。多くの企業は、想定した範囲の中でリスクを管理しようとするが、実際の脆弱性は“見えていない部分”に潜んでいることがほとんどである。今回の事案は、視野の広さこそが最大の防御力であることを再認識させる出来事となった。

そして、勝木社長が示した「業界で協力すべき」という視点も重要だ。サイバー攻撃は企業ごとの守り方を試す競技ではなく、業界全体で知見を共有し、底上げを図るべき領域である。攻撃者は業界の境界線を意識していない。だからこそ、防御側も企業の枠を超えた協調が不可欠である。この発想が日本ではまだ十分に根付いていないが、ERM全般を通じて、今後は避けて通れないテーマになるであろう。

最後に、今回のインシデントをアサヒGHDは単なる“被害”として捉えていない。外部の支援提案を受け入れ、自社の知見が広がったと評価している点に、成長する企業の姿勢が見える。危機は痛みを伴うが、組織に変革の火をつける契機にもなる。企業の強さとは、危機を完全に防ぐことではなく、危機を成長に転換する力にこそ宿る。

アサヒGHDの事案は、サイバー攻撃の“怖さ”を示したのではなく、企業のガバナンスや組織文化、経営の覚悟が問われる時代の到来を象徴している。これを単なる他社事例として片づけるのではなく、自社の“見えていない脆弱性”に目を向ける契機としてほしい。サイバーリスクは技術の問題ではない。企業の意思、文化、人材、ビジネスの存続といった経営と事業継続そのものの課題なのだ。