「11億円を自ら振り込んだ」エンジニア集団の悲劇 はてなを襲った巨額詐欺、IT企業の意外な盲点
BEC詐欺が突くのは「システムの隙」ではなく「人の隙」
話を冒頭に戻そう。会食で経営者たちが「やらかしそう」と言ったあの反応は、おそらく正直な本音だと思う。 ビジネスメール詐欺は、特別なシステムの脆弱性を突くものではない。人間の判断の隙を突く。「急いでほしい」「この件は内密に」「いつもの手順を今回は省いて」。こういった言葉で、普段は慎重な担当者も動いてしまうことがある。IT企業のエンジニアが「ゼロトラスト」（何も信じない）の精神でシステムを設計するように、バックオフィスの業務フローにも「指示の真偽を確認する仕組み」を埋め込む必要がある。 ただ、仕組みを整えるだけでは足りない。「何かおかしいと思ったら、上に相談していい」という組織文化と、それを支えるコミュニケーションの風土が必要だ。 内部統制と、組織内のオープンなコミュニケーション。この2つは、表裏一体だ。
「IT部門の問題」で片付けてはいけない
はてなの11億円流出事案は、IT業界への警鐘でもあると同時に、全ての企業への問いかけでもある。 「自社の送金フローに、本当に複数人の目が入っているか」「異常を感知したとき、誰が誰にどう伝えるか、決まっているか」「もし今日、同じことが起きたとして、自分たちは何時間後に対策本部を立ち上げられるか」 リスクが表面化したとき、企業の対応力を支えるのは、結局のところ「コミュニケーションの設計」だと考える。メディア向けの広報という狭い意味ではなく、株主・投資家・従業員・取引先・金融機関・捜査機関――あらゆるステークホルダーとの情報共有の在り方そのものだ。 「IT部門の問題ではない」と言いたいのではない。IT部門だけでは止められない問題だ、と言いたいのだ。テクノロジーと人と組織のあいだに張り巡らせる、コミュニケーションの網。それを今、もう一度点検してほしい。
著者紹介：大杉春子（おおすぎ・はるこ）
レイザー代表取締役／RCIJ代表理事 コミュニケーション戦略アドバイザーとしてPR戦略の企画から危機管理広報まで、企業・行政のブランド価値向上を包括的に支援。 日本において唯一、コミュニケーション戦略におけるリスク管理に特化したカリキュラムを展開する日本リスクコミュニケーション協会（RCIJ）を2020年に設立。 上場企業や防衛省での豊富な実績を持つ。
ITmedia ビジネスオンライン
