「「説明できる意思決定」が信頼を支える。新CISOが考えるAI時代のセキュリティ」を公開しました

AIを活用したサービスが広がる中、「自分の情報はどのように守られているのだろう」と感じたことはありませんか？

2023年の不正アクセス事案を経て、LINEヤフーはセキュリティ体制の見直しを進め、緊急の「危機対応」から、再発を防ぎ継続的に管理する「ガバナンス」体制へとフェーズを移しました。さらにAI時代を迎え、セキュリティに求められる役割も大きく変わろうとしています。

そうした変化の中で、今年4月にCISOに就任した鈴木重雄が一貫して大切にしているのは、「あとから振り返っても、その意思決定が正しかったと説明できる判断」を積み重ねることです。
今回は、その判断軸と、AI時代に見据えるセキュリティの未来について聞きました。

「やるべきことを、ちゃんとやる」という原点

――これまでのキャリアの中で、セキュリティに対する価値観や考え方が大きく変わった出来事はありましたか？

私は1996年にソフトバンクへ入社し、アプリケーションやネットワークなど、さまざまな領域を経験してきました。転機になったのは、インフラ全体を管掌する立場となり、セキュリティやインシデント対応も担当するようになったことです。
それまではプロダクトを導入したり、アプリケーションを開発したりする仕事が中心でした。でも、実際にインシデント対応を経験したことをきっかけに、考え方が大きく変わりました。

――具体的に、どのように変わったのでしょうか。

セキュリティの問題が一度起きてしまうと、本当に現場はかなり混乱します。多くの人が対応に追われ、事業への影響も大きい。そして何より、ユーザーやお取引先にご迷惑やご心配をおかけしてしまいます。
そんな現場を目の当たりにして、「こんな大変なことは起きないほうがいいし、起きてしまったら本当につらい」と強く感じました。

だからこそ、「やるべきことを、ちゃんとやる」。インシデントを未然に防ぐために、当たり前のことを確実に積み重ねることが、セキュリティでは何よりも大切だと思っています。

「説明できる意思決定」が信頼を支える

――CISOとして現場を動かしたり、重要な意思決定をしたりする際に、大切にしていることは何ですか？

一番大切にしているのは、その意思決定が「正しかった」と、あとからちゃんと説明できるかどうかです。
「なぜその判断をしたのか」と問われたときに、自分自身が説明できないような意思決定はしたくありません。特に上場企業では、インシデントが発生すれば社内外にさまざまな説明責任が生じます。そのときに「なぜそんな判断をしたのか」と説明できない状況は避けなければならないと思っています。

一方で、安全だけを優先すればいいとも考えていません。
たとえば、「昔から使われている技術だけを使えば安全だ」とか、「データを一切使わなければ漏えいしない」という考え方もあります。でも、それでは新しい技術は生まれませんし、事業も成長しません。

技術の進化が止まれば、セキュリティも進化せず、新しい脅威にも対応できません。
また、セキュリティにはコストがかかりますが、そのコストは会社の収益から捻出されるものでもあります。だからこそ、安全性を大切にしながら、事業成長と新しい技術にも目を向け続けることを大切にしています。

グループ全体を守るための「リスクに応じた管理」

――LINEヤフーでは、自社だけでなく委託先やグループ会社まで含めて、セキュリティを担保する必要があります。どのような考え方で管理しているのでしょうか。

委託先については、「委託先を通じてLINEヤフーのシステムや情報資産に問題が起きないこと」を前提に管理しています。

ただ、すべてを一律に厳しく管理すればいいというわけではありません。どのような業務を委託するのかによって、求めるセキュリティ水準は変わります。
たとえば、オフィスでLINEヤフーのパソコンを使って作業する委託先であれば、物理的な環境も含めて一定の管理ができます。一方で、外部にデータを預ける委託先であれば、「情報管理は適切か」「海外でデータを扱う場合、その国の法制度や環境は問題ないか」といった点まで確認しています。

グループ会社についても同様です。各社に年2回ヒアリングを実施し、セキュリティ対策の実施状況を確認していますが、今回のアスクルのインシデントを受けて、「質問の質」を見直す必要性を強く感じました。

――それはなぜでしょうか？

以前は「〇〇を実施していますか」という確認で済ませていた項目でも、実際には「何に対して」「どこまで」実施しているかの解釈が会社ごとに異なることがあったからです。

だからこそ今は、「私たちが本当に確認したいことは何か」を曖昧にせず、より具体的な質問に変えています。また、重点的に確認する子会社には、必要に応じてより深くヒアリングを行うようにしています。
新たにグループへ加わる会社についても、LINEヤフーのセキュリティの考え方を共有しながら、段階的に同じ水準を目指して取り組みを進めています。

――グループ会社でインシデントが発生した場合、どのような体制で支援しているのでしょうか。

セキュリティ事故などのインシデントの際は、まずはCSIRT（セキュリティインシデント対応チーム）に連絡が入り、状況を確認します。その上で、インシデント対応に何が足りないのかを整理し、関係部門と連携しながら進めています。また、必要に応じてエンジニアや専門チームが支援に入ります。

調査が必要であればインシデントレスポンス（原因調査や初動対応）を支援しますし、復旧フェーズであれば、復旧をどう進めるか、どのような体制を組むかといった部分まで含めてサポートします。LINEヤフーで培ってきた知見を共有しながら、不足している部分を補っていくイメージです。

「グレーは黒として扱う」──説明できる判断とは

――実際にアスクルのインシデントでは、約30人規模で支援に入ったそうですね。

はい。セキュリティ部門だけでなく、サービスインフラグループやCIO組織などから、およそ30人規模で支援に入りました。
アスクル側でも早い段階で体制を整えていたので、私たちは被害範囲の調査と復旧支援に役割を分けて対応しました。主にセキュリティチームは調査を、インフラやCIO組織は復旧を担当し、それぞれが並行して動いていました。

普段からグループ会社とコミュニケーションを重ねていたこともあり、今回の対応は非常にスピーディーだったと思います。
日曜日にインシデントの連絡を受けると、アスクルの吉岡社長から出澤（代表取締役社長 CEO）へも状況が共有され、「LINEヤフー全体としてしっかり支援してほしい」というメッセージがすぐに社内へ伝えられました。その結果、関連部署も迅速に動き、インシデント発生当日のうちに、LINEヤフー全体で「一丸となって支援する」体制が整っていました。

――支援に入られて、一番大変だったことは何でしたか。

一番大変だったのは、被害範囲を確定することでした。
最終的にはアスクル側が外部のセキュリティサービスを活用したことで、一気に状況が見えるようになって、被害範囲もかなり明確になりました。でも、そこにたどり着くまでが本当に大変でした。

被害範囲が見えてきたあとも、今度は「これは大丈夫」「これは駄目」という判断が必要になります。いくつかは明確な判断ができないグレーなものもあり、どのように扱うかかなり議論しましたね。
でも、そこで「大丈夫だろう」と判断して、その後またインシデントが起きたら、その判断を説明できません。最終的に、「大丈夫と判断できないものは駄目なものとして扱おう」「ちゃんときれいな状態まで戻そう」という方針で進めました。

――今回のようにグループ会社で起きたインシデントの経験は、ほかのグループ会社にも共有されるのでしょうか。

復旧のプロセスそのものを共有することは、あまりしていません。どちらかというと、「どう復旧したか」よりも、「同じことを起こさないようにしよう」というところに重きを置いています。
今回でいうとアスクルで起きたことを、ほかのグループ会社で繰り返さない。そのために何をしなければいけないのかを共有しています。

一方で、今の時代は攻撃する側のほうが有利です。だから、「絶対に起こさない」というだけではなく、万が一起きてしまっても事業を継続できるようにする、という考え方も大切にしています。
そのために、耐性のある仕組みづくりを社内でもプロジェクトとして進めていますし、グループ会社にも「こうした対策はできていますか」と、以前より重点を置いて確認するようになりました。

――セキュリティに関する考え方はどのように開発の現場へ届けているのでしょうか。

脆弱（ぜいじゃく）性を見つけるチームが、開発を担当するエンジニアへ直接伝えるようにしています。

セキュリティ部門から一方的に指示するのではなく、エンジニア同士でコミュニケーションを取りながら改善を進めるので、必要なことが現場までしっかり伝わっていると感じています。
また、会社全体へ向けた発信も行っていて、「こういうことに取り組んでほしい」というメッセージは、それぞれの部署へ継続的に共有しています。技術的なこともガバナンスも、必要な情報を各部署へ届ける仕組みは整ってきていると思います。

――現場のエンジニアの意識にも変化を感じますか？

感じますね。以前は、私たちから「ここを対応してください」とお願いすると、その理由を聞かれることもありました。でも今は「セキュリティは大事」という共通認識ができているので、「すぐできるよう社内で調整します」と言ってくれる人が増えました。
「対応するかどうか」ではなく、「どうやって少しでも速く実現するか」という会話に変わってきたのは、大きな変化だと感じています。

AI時代だからこそ、「安心」と「便利」を両立する

――AIを活用したサービスが増える中で、「どこまでAIに自分の情報を預けていいのか」と不安に感じるユーザーもいると思います。AI時代のセキュリティをどのように考えていますか？

これからは、AIにさまざまな情報を入力する機会が増えていくと思います。その中で私たちが一番大切にしているのは、ユーザーに情報を安心して預けていただける環境を整えることです。
ユーザーから預かったデータは機密情報として扱い、アクセスできる範囲も限られています。特に、ユーザーとAIのやりとりは、生データに近い情報ほど個人情報と同じレベルで保護しています。

一方で、すべてを機密情報として閉じてしまうと、AIは十分に学習できず、便利なサービスも提供できません。
だからこそ、「サービスにとって本当に必要な情報は何か」をサービス担当とも何度も議論しながら、情報の扱い方を決めています。

「安心して使えること」と「便利に使えること」。その両方を実現することが、AI時代のセキュリティだと考えています。

――セキュリティの現場でも、AIを活用しているのでしょうか？

AIは攻撃する側も使いますし、守る側も使います。
私たちは守る側として、攻撃者が使うようなツールと同じ視点で、自分たちのシステムにどんな脆弱（ぜいじゃく）性があるのかを確認し、見つかったものはすぐに修正しています。
これまで見つけられなかった脆弱（ぜいじゃく）性も、AIによって発見できるようになる可能性があります。そういう意味では、AIは脅威でもありますが、セキュリティをさらに強くするチャンスでもあると思っています。

新しい技術と、安全・安心。その両方を守りたい

――セキュリティの仕事のやりがいは、どんなところにあると思いますか。

自分の意思決定が経営に影響を与えるところですね。セキュリティは技術やガバナンスだけではなく、経営そのものに近い仕事だと考えています。

昔よりも、その感覚は強くなっています。経営も「セキュリティについてしっかり判断してほしい」と期待していますし、時代とともにセキュリティは、技術だけではなく経営にどんどん近い存在になってきていると感じています。
売り上げや利益に直接貢献する仕事ではありませんが、企業の信頼を守り、安心してサービスを使っていただける環境をつくることで、結果的には事業を支えていると思っています。

――最後に、ユーザーの皆さんへメッセージをお願いします。

LINEヤフーでは、新しい技術を取り入れながら、サービスを進化させ続けています。
一方で、その進化と同じくらい、セキュリティも大切にしています。
日々利用いただくサービスを提供するからこそ、安全・安心に使っていただけることが大前提です。

これからも、ユーザーの皆さんに安心して情報を預けていただけるよう、一つひとつの判断と取り組みを積み重ねていきたいと思っています。

取材日：2026年7月3日
文：LINEヤフーストーリー編集部　撮影：猪又 直之
※本記事の内容は取材日時点のものです