2024年9月、関西と首都圏で物流事業を展開する関通（兵庫県、現関通ホールディングス）は､ランサムウェア攻撃で事業の一時停止を余儀なくされた。それでも企業の存続を守れたのは、会計システムの「奉行クラウド」は無傷で、資金繰りを見通すことができたからだ。この経験からCyber Governance Lab（CGL）を設立した達城利元社長と、奉行クラウドの提供元であるオービックビジネスコンサルタント（OBC）の和田成史社長に、事業を止めないための備えを聞いた。両社は中堅・中小企業のセキュリティ強化で協業を開始している。

中堅・中小企業を攻撃が襲う

攻撃を受けた当時、関通の社内はどんな状況だったのでしょうか。

達城　攻撃を受けたのは夕方でしたが、在庫管理を含む複数のシステムが暗号化されたことで、次の日の朝からは誰も仕事ができなくなりました。出社してきた従業員は「何もすることがない」という状況でした。
 
振り返ると、どんな対策が足りなかったのでしょうか。

達城　IT統制のセオリー通りの対策はほぼ講じていました。しかし、経営陣も現場も「誰かが対策をしてくれているだろう」という認識しかなく、セキュリティの責任者を決めて経営の議題にし続ける体制がありませんでした。

和田社長は、このようなリスクをどうご覧になっていますか。

和田　ランサムウェア被害のおよそ3分の2は、中堅・中小企業で起きています。小規模な企業もサプライチェーンで大手企業とつながる以上、企業の規模を問わず備えが求められます。サイバーセキュリティはすべての企業にとって、信用の前提になっていると思います。
 

奉行クラウドだから会計は無傷

財務・会計の業務は影響を受けなかったそうですね。

達城　偶然にも、攻撃の1カ月前に会計システムを奉行クラウドへ移行完了していました。期中のデータはすべてクラウドにあり、会計業務が通常通り続けられたので、売掛金と未払金の残高を正確に把握できたのは大きかったですね。キャッシュフローを試算でき、資金調達の意思決定を迅速に行うことができました。もし会計のデータがなければ、銀行との会話もできず、会社はつぶれていたかもしれません。

和田　キャッシュフローの把握という、企業継続の基盤を支えるという意味でも、セキュリティは会計システムの本質と言えます。このため、奉行クラウドはランサムウェアの影響を受けない設計にしています。

なぜ、ランサムウェアの影響を受けないと言い切れるのでしょうか。

和田　奉行クラウドは「Microsoft Azure」のPaaS上に構築しているので、サーバーOSやデータベースの特権はMicrosoft側にあり、当社ですら触れることはできません。そのため、システムの特権を奪ってデータを暗号化したり持ち出したりすることが構造的にできないのです。

ガバナンスとシステムの両輪で「止めない」経営を支える

関通がCGLを立ち上げ、セキュリティ評価サービス「RASHIN」を開始した経緯を教えてください。

達城　被害に遭って分かったのは、本来の統制が整っていれば、多くのリスクは抑えられるということです。だから私たちは、「セキュリティ」よりも「ガバナンス」という言葉を強調しています。同じ経験をする会社を減らしたい。この思いでノウハウを提供する側に回りました。
「サプライチェーン強化に向けたセキュリティ対策評価制度」の開始が近づいています。中堅・中小企業に何をもたらしますか。

達城　取引先から評価取得を問われることが、経営者がセキュリティを自分事として捉えるきっかけになると思います。継続的な運用を前提に要件が組まれており、形骸化しにくいのも特徴です。

和田　奉行クラウドはシステムに求められる要件をほぼ網羅することができます。 お客様には、導入するだけで満たせる評価項目が多いことをぜひお伝えしていきたいですね。
OBCとCGLは今年9月に協業を開始しました。その狙いは。

達城　RASHINは、オンラインでリスクを診断して被害額として数値化し、改善ロードマップを自動で提示するサービスです。奉行ユーザーにはまだオンプレミスのリスクに気づいていない企業も少なくありません。クラウド移行が解消の手段でもあると、両社で示せます。

和田　お客様の安全を高めるには、対策を支援するサービスが欠かせません。当社は安全な基盤の構築に集中し、専門家と連携する体制としました。

最後に、中堅・中小企業へ今伝えたいことをお聞かせください。

達城　攻撃を完全に防ぎきるのは難しいという前提に立ち、被害を受けても事業を止めない体制をつくっていただきたいです。

和田　会計を中心とした基幹業務データを預かる責任として、ランサムウェアにかからない構造を築きました。両社の強みを生かし、お客様に安全・安心な環境を届けていきます。