守りの備えは、利益が出てから考えればよいと思っていませんか。
その考え方では、事故が起きた瞬間に、会社の信用を一気に失います。
2026年10月21日、GMOの「お名前.com デスクトップクラウド」が停止しました。
不正アクセスを受け、攻撃者とみられる者から、約80億円を要求する脅迫メールが届いたと、同社は公表しています。
GMOは、この要求に応じない方針です。
注目したいのは、その後の報道です。
熊谷正寿会長兼社長は、ブログで次のように説明しました。
「社内のホワイトハッカーから改善すべき課題が事前に現場へ指摘されておりました」
対応は進めたが、深さと速さが十分ではなかったと述べています。
その理由に挙げたのが、他の対処事項との優先順位です。
日本経済新聞は、子会社のセキュリティー企業が2024年4月時点で、システムの脆弱性を指摘していたと報じています。
ただし、今回の侵入経路と、指摘された脆弱性が同じかどうかは、報じられていません。
本日11月2日には、熊谷会長が記者会見を開く予定で、経緯は今後明らかになります。
私は、GMOの責任の有無を、ここで論じるつもりはありません。
それでも、このニュースは、経営の優先順位を、あらためて問い直しています。
専門家が指摘した課題を、計画のどこに置くか。
この判断は、技術の問題ではなく、経営戦略の問題だからです。
私は前職で、電通グループのリスクマネジメントを担う幹部の方と、一緒に顧客対応をした経験があります。
その方は、のちに大切な友人となりました。
この経験から、リスクマネジメントには3つの段階があると考えています。
リスクを抱える前、抱えたとき、抱えた後です。
最初の「抱える前」で問われるのは、リスクを想定する能力です。
どんなリスクを抱えうるのかという安全意識が、その組織にどれだけあるかが、分かれ目です。
そして、経営トップに、その意識があるかも問われます。
ただし、意識があるだけでは、機能しません。
行動に移し、体系化し、組織の中に浸透させて、はじめて機能します。
GMOの報道は、この点に重なります。
専門人材がいて、課題も指摘されていました。
それでも、組織としての防御に十分つなげられなかったと、熊谷会長自身が述べています。
専門家を抱えるだけでは、備えになりません。
もう一つ、見落とせない考え方があります。
『ハインリッヒの法則』です。
米国の損害保険会社で安全技師だったハインリッヒが、1931年の著書で示しました。
330件の災害のうち、重大災害が1件、軽傷が29件、無傷害事故が300件という、1対29対300の比率です。
厚生労働省の「職場のあんぜんサイト」は、この比率を厳密な数値ではなく、目安と説明しています。
比率は業種や企業で異なりますが、重大な事故の背後に、多数の小さな異常があるという点は共通します。
つまり、社内の小さな、目に見えない出来事こそ、大きなリスクの手がかりです。
その声に真摯に聞き耳を立て、吸い上げる仕組みが、組織には必要です。
さらに、報告しやすい組織の文化も、醸成しなければなりません。
続いて、「抱えたとき」です。
私が一緒に対応した顧客では、その幹部の方が顧客企業に入り、半年間、対応しました。
その結果、大ごとにならず、リスクは回避されました。
起きた直後の動きと、その後の粘り強い対応が、被害の大きさを左右します。
最後の「抱えた後」で必要なのは、「弱点が表に出た」と受け止める感性です。
出てきた弱点を、一点だけカバーして終わらせてはいけません。
これを、リスクマネジメントに本格的に取り組む、きっかけにするのが大切です。
そのためには、経営トップだけでは足りません。
経営層、幹部社員、そしてゆくゆくは全社員に、浸透させる必要があります。
インターネット、DX、AIが一般的になった今、この備えはさらに難しくなっています。
とりわけAIは、進化の速度が急激です。
セキュリティの対応は、非常に困難になると予測しています。
だからこそ、先手を打つ必要があります。
先手に必要なのは、専門的な知識と、最新の情報です。
これらは、自社の内部にあるとは限りません。
内部になければ、外部の協力者に仰ぐしかありません。
当然、費用はかかります。
しかし、リスクを抱えてしまった場合の費用は、計り知れません。
GMOは、見舞金、不正取引による損失の補償、代替サービスの提供を決めたと公表しています。
事後の対応には、補償や調査、信用の回復まで、長い時間と費用がかかります。
そこで、問われます。
この費用を、コストと見るのか、投資と見るのか。
私は、投資と見るべきだと考えています。
ここは、経営者が問われる場面です。
GMOは大規模な会社であり、その事例がすべての会社に当てはまるわけではありません。
中小企業が、同じ体制をすぐに整えるのも難しく、予算にも人手にも限りがあります。
それでも、計画に入れる作業は、今日から始められます。
たとえば、次の3つです。
第一に、外部の専門家の指摘を、受ける窓口を決めます。
第二に、指摘された課題に、対応の期限と責任者を置きます。
第三に、後回しにする場合は、その理由を経営会議で記録します。
後回しにするのも経営の判断ですが、その判断は、記録に残してはじめて見直せます。
企業文化は、日々の積み重ねで育ちます。
毎日の朝礼や会話の中に、リスクに対する安全対策の観点を入れていきます。
たとえば、「昨日、ヒヤリとした場面はなかったか」と、問いかけます。
外部の力を借りるのは、弱さではありません。
会社を守る、経営者の判断です。
あなたの会社の計画には、指摘された課題への対応と、外部の専門家に払う費用が、入っていますか。
【出典】GMOインターネットグループ「「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について（第10報）」（2026年10月27日）、J-CAST ニュース「GMO、セキュリティー巡る「課題」を社内ホワイトハッカーが指摘していた それでも「攻撃者にその間隙を」...熊谷代表が謝罪」（2026年10月26日）、日本経済新聞「GMO、熊谷会長が2日に記者会見 一連の不正アクセス問題を説明へ」（2026年10月31日）、厚生労働省「職場のあんぜんサイト」用語集「ハインリッヒの法則（1:29:300の法則）」（2026年11月1日閲覧）
