ジョーシスサイバー地経学研究所(JCGR)

前編に引き続き、経営コンサルタントとして30年以上のキャリアを持つ、CIC Japan会長・A.T.カーニー日本法人前会長の梅澤高明さんを迎え、松本恭攝ジョーシス株式会社CEOとの対談をお届けします。

前編はこちら ⇒ Apple Podcasts | Spotify

後編では、前編で浮き彫りになった「手作業によるSaaS管理の限界」に対する解決策として、ジョーシスが提供する「AIを活用した自律型SaaSマネジメント」の全貌に迫ります。AIがいかにして企業のITガバナンスを自動化し、情報システム部門を「コストセンター」から「戦略部門」へと進化させるのかを深掘りします。

さらに、日本発スタートアップが世界基準で戦うための「ボーン・グローバル」戦略や、M&Aを成功に導くIT統合の要諦など、次世代の経営者やリーダーに求められる「ITアーキテクト」としての哲学を語り尽くします。

＜キーワード＞

• オンプレミスからSaaSまで、データを一元化する「3つのAIエンジン」の仕組み   
• AIエージェント「オーナーファインダー」が実現する、管理者の自動特定と権限取得  情報システム部門の劇的な進化
• 最初からエコシステムに組み込まれる「ボーン・グローバル」設計と、世界標準の戦い方   
• M&Aの失敗を防ぐ、異なるITインフラを即座に統合するジョーシスの強み   
• これからの経営者に求められる「フレキシビリティとレジリエンスを備えたデータ設計」   
  
  今回は梅澤さんのVoicy「イノベーションの流儀」とのコラボ企画で、松本CEOが起業家としてのストーリーを語っています 。本編とあわせてぜひお聞きください。

＜ゲストプロフィール＞

梅澤高明さん（うめざわ・たかあき）

東京大学法学部卒、MIT経営学修士。KEARNEYのコンサルタントとして日米で30年にわたり、戦略・イノベーション・マーケティング・組織および都市開発のテーマで企業を支援。2014〜2026年、A.T.カーニー日本法人会長。2019年からCIC Japan会長、国内最大級の都心型イノベーション拠点「CIC Tokyo」の立上げを主導。内閣府「知的財産戦略本部」本部員、観光庁「地方における高付加価値なインバウンド観光地づくり検討委員会」座長。ほか、クールジャパン、税制などの政府委員会で委員を務める。一橋ICS（大学院国際企業戦略専攻）特任教授。『NEXTOKYO Project』を主宰し、東京の将来ビジョン・特区構想を産業界・政府に提言。著書に『NEXTOKYO 「ポスト2020」の東京が世界で最も輝く都市に変わるために』（共著、日経BP社）、『最強のシナリオプランニング』（東洋経済新報社）など。

松本恭攝さん（まつもと・やすかね）

2008年慶應義塾大学卒業後、A.T.カーニーに入社。2009年ラクスル株式会社を設立、代表取締役CEOに就任。ラクスルは2018年に東証マザーズ（現グロース市場）、19年に東証一部（現プライム市場）に上場。事業の多角化を推進し、15年に物流シェアリング事業「ハコベル」を、20年にTVCM事業「ノバセル」を、21年にITデバイス&SaaSの統合管理システム「ジョーシス」を立ち上げる。22年には自ら立ち上げたジョーシスの経営に専念するため事業をカーブアウト、ジョーシスCEOに就任。23年にラクスルのCEOを退任し、会長に就任。

■□ 収録後記 □■
「今日の話を経営者にそのまま聞いてもらうのが一番早い」という梅澤さんの言葉が、後半のすべてを物語っています。AIがシステムのメンテナンスから社内の権限確認までを自律的に行う時代において 、特定のツールに依存せず、柔軟なデータレイヤーの設計ができる「ITアーキテクト」の育成は、一企業を超えた国としての重要課題だと再認識させられました。情報システム担当として孤独な戦いを続ける皆様、そして決裁を行う経営陣にこそ届いてほしいエピソードです。

（JCGR編集部）

今回のゲストは、経営コンサルタントとして30年以上のキャリアを持つ、CIC Japan会長・A.T.カーニー日本法人前会長の梅澤高明さんを迎え、松本恭攝ジョーシス株式会社CEOが企業が抱えるITガバナンスの課題とジョーシスのソリューションと世界観について語ります。

前編では、SaaS導入時の形式的な審査だけでは防げないリスクの正体や、多くの企業で「手作業の限界」により放置されている退職者・外部委託先のアカウント（オーバーアカウント）問題など、今日から見直すべき現場のリアルな課題と、それを解決するプロダクトの役割について深掘りします。ITガバナンスをめぐるビジネスリーダーだちの議論に注目です。

＜キーワード＞

• DXの裏側で進む「SaaSの指数関数的増加」と管理の形骸化
• 「手作業の限界」が招く退職者・外部委託アカウントの放置
• サイバー攻撃・内部不正の温床となる「オーバーアカウント」の危うさ
• ジョーシスが実現する「入り口から出口まで」の自動化と統制
• 「守り」から「攻め」のインフラへ。経営戦略としてのIT管理

今回は梅澤さんのVoicy「イノベーションの流儀」とのコラボ企画で、松本CEOが起業家としてのストーリーを語っています。

＜ゲストプロフィール＞

梅澤高明さん（うめざわ・たかあき）

東京大学法学部卒、MIT経営学修士。KEARNEYのコンサルタントとして日米で30年にわたり、戦略・イノベーション・マーケティング・組織および都市開発のテーマで企業を支援。2014〜2026年、A.T.カーニー日本法人会長。2019年からCIC Japan会長、国内最大級の都心型イノベーション拠点「CIC Tokyo」の立上げを主導。内閣府「知的財産戦略本部」本部員、観光庁「地方における高付加価値なインバウンド観光地づくり検討委員会」座長。ほか、クールジャパン、税制などの政府委員会で委員を務める。一橋ICS（大学院国際企業戦略専攻）特任教授。『NEXTOKYO Project』を主宰し、東京の将来ビジョン・特区構想を産業界・政府に提言。著書に『NEXTOKYO 「ポスト2020」の東京が世界で最も輝く都市に変わるために』（共著、日経BP社）、『最強のシナリオプランニング』（東洋経済新報社）など。

松本恭攝さん（まつもと・やすかね）

2008年慶應義塾大学卒業後、A.T.カーニーに入社。2009年ラクスル株式会社を設立、代表取締役CEOに就任。ラクスルは2018年に東証マザーズ（現グロース市場）、19年に東証一部（現プライム市場）に上場。事業の多角化を推進し、15年に物流シェアリング事業「ハコベル」を、20年にTVCM事業「ノバセル」を、21年にITデバイス&SaaSの統合管理システム「ジョーシス」を立ち上げる。22年には自ら立ち上げたジョーシスの経営に専念するため事業をカーブアウト、ジョーシスCEOに就任。23年にラクスルのCEOを退任し、会長に就任。

■□ 収録後記 □■
梅澤さんの「リスクは指数関数的に増えている」という経営的な警鐘と、松本さんが語る「アカウント削除漏れ」という現場のリアリティが重なり、ITガバナンスがもはや現場だけの問題ではないことが浮き彫りになりました。

特に「業務委託が終わっても中のデータが見えてしまう」というエピソードは、多くの企業が抱える「手作業による管理の限界」を象徴しています。効率化と安全性をいかにテクノロジーで両立させるか。そのヒントが詰まった対談です。

（JCGR編集部）

前回（前半）は、AIが単なるツールから自律的な「デジタル社員（AIエージェント）」へと進化するパラダイムシフトについて伺いました。

前半はこちら ⇒ Apple Podcasts | Spotify

後半となる今回は、AIエージェントが普及した「その先の未来」を予見します。人間が画面を操作するUI（ユーザーインターフェース）から、AIが直接ソフトウェアを操作するAPI主体の時代へ 。これに伴い、従来のユーザー単位の課金モデルから、タスクの処理量や生み出した価値に基づく「成果ベース」へとビジネスモデルが進化していく可能性について深掘りします 。

チェック・ポイント・ソフトウェア・テクノロジーズ日本法人社長の佐賀文宣さんが、AI時代の新たなインフラの姿と、人間に見えないサイバー攻撃から組織を守り抜くための経営戦略を語ります。

■□ ハイライト □■

UI（画面）からAPIへ：ソフトウェアの役割が「機能」へ進化する:  人間が画面を介さず、AIエージェントがAPIを通じてソフトウェアを直接操作する世界が到来しています。これにより、ライセンス形態も従来の「社員数単位」から、エージェントの数や処理単位（トランザクション）に応じたモデルへと変化し始めています。

「間接的プロンプトインジェクション」という新たな脅威: メールの中に人間には普通の文章に見える「AIへの命令文」を埋め込む、人間に見えない攻撃手法が登場しています。AIを騙して情報を流出させたり、不正なメールをばらまかせたりするリスクに対し、動作を検知して止める「ガードレール」の重要性が高まっています。

サイバー攻撃の「工業化」とサプライチェーンの自分事化:  AIによって攻撃が自動化・大規模化（工業化）され、企業規模や知名度に関係なく無差別に弱点が狙われる時代です。ティアの深いサプライチェーンの一角が狙われるだけで全稼働が止まるリスクを、すべての経営者が自分事として捉える必要があります。

AIを「正しく可視化する力」が企業の競争力になる: どのAIがどのようなデータにアクセスし、何を判断しているのか。これを見えないまま使うことは大きなリスクを伴います。AIの挙動を可視化し、管理できる状態にしておくことこそが、これからの企業のAI戦略における核心です。

「禁止」ではなく「使いこなしながら守る」経営視点 : AIの使用を禁止しても、従業員は個人IDで「野良AI」を使い続けてしまいます 。経営者に求められるのは、AIが万能ではないことを理解した上で、いかに可視化・管理し、活用と防衛を両立させるかという視点です。

＜ゲスト・プロフィール＞

佐賀 文宣（さが・ふみのり）さん

チェック・ポイント・ソフトウェア・テクノロジーズ株式会社 日本法人代表取締役社長

チェック・ポイント日本法人の拡大を主導し、顧客およびパートナーとの継続的な信頼の上、チェック・ポイントの戦略的方向性である「You Deserve the Best Security（お客様である企業や組織に最高のセキュリティを構築する）」の実現をミッションとする。直近では、ZVC Japan 株式会社 (Zoom Video Communications, Inc.の日本法人)にて、社長を務めビジネスを大きく成長させた。ZVC Japan入社前は、2013年からヴイエムウェア株式会社でパートナービジネスを統括。2006年から2013年にかけては、シスコシステムズ合同会社にて、同社が買収したWebexのパートナー開拓に携わる。1992年に日本アイ・ビー・エム株式会社へ入社し、大和研究所にてThinkPadの開発部門に配属。1992年北海道大学工学部修士課程を修了。

■□ 収録後記 □■
佐賀さんのお話を通じて、AIを「導入するかどうか」という段階は終わり、いかに「高い透明性を持って使いこなすか」というフェーズに入ったことを痛感しました 。特に、AI同士が連携することで組織の境界が曖昧になるという指摘は、従来のIT管理の常識を大きくアップデートするものです 。

攻撃が「工業化」される厳しい現実があるからこそ、AIの行動を可視化し、リスクをコントロールする技術が企業の真の武器になります 。「AIは間違えることもある」という前提に立ち、それを見守りながら活用する。この誠実な管理の姿勢が、AI時代の勝者を分けるのだと感じました。

（JCGR編集部）

毎週のように新しいツールやモデルが発表される現在のAIシーン。何を使えば正解なのか、ツールが多すぎて追いつけない。そんな「AI疲れ（AI Fatigue）」を感じている方も多いのではないでしょうか。

今回のゲストは、チェック・ポイント・ソフトウェア・テクノロジーズ日本法人社長の佐賀文宣さん。佐賀さんは、現在の混乱を「AIの限界」ではなく、AIが単なるツールから「企業の競争力を左右するインフラ」へと変貌する、本格的な普及期の入り口であると指摘します。

前編では、主要なAIプレイヤーの特性整理から、今まさに起きている「AIエージェント」への進化、そしてAIを「デジタル社員」としてどうマネジメントすべきか、その本質的な向き合い方を深掘りします。

■□ ハイライト □■

「AI疲れ」の正体は、仕事の仕組みが変わる「混乱」

現在の状況は、特定の課題を解くだけだった過去のAIブームとは異なります。AIがアプリケーションとして人間のワークフローに自律的に入り込み始めたことで、既存の仕事の仕組みが根底から揺らいでいることへの戸惑いが「疲れ」として表れているのです。

主要AIプレイヤーが構築する「インフラ化」の波

単なるモデルの性能比較ではなく、APIを通じて広がるOpenAIのエコシステム、検索やGmailと統合されたGoogleのGemini、長文読解と安全性に長けたAnthropicのClaude。AIが「選んで使うもの」から、ビジネスを支える「基盤」へと変わりつつある現状を整理します。

ツールから「AIエージェント（デジタル社員）」へ

目標を与えれば自ら計画を立て、実行し、評価まで行う「AIエージェント」の登場。それはもはや単なる道具ではなく、専門性を持ったチームや「デジタルなインターン」に近い存在です。1つのスーパーAIではなく、小さなエージェントを組み合わせて組織化する未来像を語ります。

「堂々と間違えるインターン」をどう管理するか

AIはハルシネーション（もっともらしい嘘）をつくことがあります。優秀に見えても、時には現場の機微を理解せず間違える。この「自律的に動くがミスもする」存在をブラックボックス化させず、可視化し、ガバナンスしていくことが経営の鍵となります。

＜ゲスト・プロフィール＞

佐賀 文宣（さが・ふみのり）さん

チェック・ポイント・ソフトウェア・テクノロジーズ株式会社 日本法人代表取締役社長

チェック・ポイント日本法人の拡大を主導し、顧客およびパートナーとの継続的な信頼の上、チェック・ポイントの戦略的方向性である「You Deserve the Best Security（お客様である企業や組織に最高のセキュリティを構築する）」の実現をミッションとする。

直近では、ZVC Japan 株式会社 (Zoom Video Communications, Inc.の日本法人)にて、社長を務めビジネスを大きく成長させた。ZVC Japan入社前は、2013年からヴイエムウェア株式会社でパートナービジネスを統括。2006年から2013年にかけては、シスコシステムズ合同会社にて、同社が買収したWebexのパートナー開拓に携わる。1992年に日本アイ・ビー・エム株式会社へ入社し、大和研究所にてThinkPadの開発部門に配属。1992年北海道大学工学部修士課程を修了。

■□ 収録後記 □■

佐賀さんのお話の中で非常に分かりやすかったのが、AIを「堂々と間違えるインターン」と例えた視点です。

期待しすぎるのでもなく、分からないからと禁止するのでもなく、その「思考プロセス（入り口と出口）」を見える化してマネジメントする。この姿勢は、従来のIT管理の枠を超えて、まさに「新しい時代の組織づくり」そのものであると感じました。

後半（4月10日公開予定）では、このAIエージェントが普及した世界で「ソフトウェアのビジネスモデル」や「セキュリティの境界線」がどう激変していくのか、さらに一歩踏み込んだ未来図を伺います。お楽しみに！

（JCGR編集部）

前回（前半）は、民間と行政の境界を「溶かす」文脈の重要性や、孤立する「一人情シス」を救うための日本初の情報職採用モデルについて伺いました。

▼前編はこちら
「官民の壁を「溶かす」文脈の力と、一人情シスを救う「広島モデル」の衝撃」
Apple Podcasts | Spotify

後半となる今回は、セキュリティ投資を「ROI（投資利益率）」の枠組みから解き放ち、企業が10年後も生き残るための「信頼資本（Trust Capital）」として再定義します。ブラックハット（Black Hat）などの国際カンファレンスで目撃した最前線の潮流から、日本独自の「安全神話」の終焉、そして失敗を隠さず「集合知」に変えていくための新たな組織体「ガブレット（Govlet）」の構想まで、桑原さんの多角的な視点が光ります。

DXを単なる効率化ではなく、「Dream eXpression（夢の実現）」と読み解く桑原さんの力強いメッセージは、日々現場で奮闘するすべてのIT・セキュリティ担当者の心に灯をともすはずです。

■□ ハイライト □■

「ROI」で測れないセキュリティの真価：セキュリティ投資を「今年いくら儲かったか」で判断するのは、1990年代の自動車安全装備（衝突安全システム）への議論と同じです 。かつてはオプションだった安全機能が今は標準装備であるように、セキュリティもまた、企業の「信頼資本」を支えるエッセンシャルな要素へと進化すべき時期に来ています。

「冷蔵庫を開けたら攻撃者がいる」ゼロトラストの現実：日本の「安全島国」という地政学的思考は、サイバー空間では通用しません。境界型防御の限界を超え、「すでに攻撃者が家の中にいる」ことを前提としたゼロトラストの考え方と、攻撃されても立ち上がる力（レジリエンス）の重要性を説きます。

失敗を資産に変える「ガブレット（Govlet）」の挑戦： 行政や企業において「失敗」は隠すべきものとされがちですが、それはITガバナンスにおける「隠蔽」のリスクを生みます。自治体同士が失敗や成功の事例を共有し、境界を超えた「集合知」を構築するためのプラットフォーム「ガブレット」が目指す、境界のない連携の形を伺います。

DX成功のピラミッド：共感が技術を動かす 桑原さんが提唱するDX成功の4プロセス。それは、「共感（Empathy）」「技術（Technology）」「信頼（Trust）」「成長（Growth）」の積み重ねです。頂点の「成功（Success）」に至るためには、何よりもまず「共感」という種を蒔くことから始まります。

現場で闘う人々へのエール：技術の主役は常に「人」 「技術は道具であり、主役は常に人である。」一人ひとりの現場に灯した小さな明かりが、やがて組織を照らす大きな光になるという、桑原さん自身のキャリアに裏打ちされた感動的なエールで締めくくります 。

セキュリティ投資は「10年後の信頼資本」への投資：単年の利益（ROI）で測るのではなく、企業が生き残るための「信頼」を積み上げる投資姿勢が求められています 。

＜ゲスト・プロフィール＞
桑原義幸（くわはら・よしゆき）さん
前広島県情報戦略部長(2024年3月退官)。デジタルイクイップメント、KPMG、Arthur Andersen（現PwC）等の米系企業にてIT分野の研究開発や経営コンサルティング業務に従事。 2003年の金融庁入庁を皮切りに会計検査院、原子力規制委員会、福岡市などの情報部門責任者として要職を歴任。 2011年広島県CIOに就任し、退官までの13年間で同県をデジタル先進県へと導いた。現在、NECエグゼクティブストラテジスト、株式会社ArteVisione&Co. 代表取締役、株式会社Trive常務執行役員社長補佐兼CTOなど複数の業務に従事。

■□ 収録後記 □■

桑原さんのお話の中で特に深く心に刻まれたのは、「成功のピラミッド」という考え方です。ピラミッドの頂点にある「成長」や「成功」へと至る土台には、技術（Technology）よりも先に「共感（Empathy）」が必要であるという視点は、効率を急ぎがちな現代のITプロジェクトにおいて見失われがちな本質ではないでしょうか。

また、セキュリティを「自動車の安全装備」に例え、かつてはオプションだったものが今や標準（エッセンシャル）となったという歴史の変遷も、現在のIT環境と重なり非常に説得力がありました。

目に見えないサイバー空間だからこそ、経営者が「信頼」という無形の資本を育てるために、どのような「投資の姿勢」を持つべきか。桑原さんの言葉は、「孤独な皿回し」を続ける担当者だけでなく、組織の未来を担うリーダーたちへの力強い指針となるはずです。

（JCGR編集部）

今回のゲストは、民間と行政の境界線を「Beyond Borders」の精神で歩み続けてきた桑原義幸さんです。

桑原さんは、外資系IT企業やコンサルティングファームを経て金融庁など中央省庁や福岡市の情報部門責任者を歴任し、広島県で13年にわたり初代情報戦略担当部長として地方自治体のDXを牽引してきたという、官民をまたいで希有な経歴をお持ちです。技術論だけでは決して突破できない「官民の壁」をいかにして「溶かして」きたのか。そして、地方自治体や中小企業が抱える「一人情シスの孤独」という切実な課題にどう向き合ってきたのか。

前編では、DXの本質を「Dream eXpression（夢の実現）」と定義する桑原さんの哲学と、日本初となる独自の「情報職」採用・育成プログラムを通じた組織変革の軌跡を詳しく伺います。

■□ ハイライト □■

官民の壁は「壊す」のではなく「溶かす」： 民間と行政の間に横たわる前例主義やスピード感のギャップ。桑原さんはこれを技術論で突破しようとするのではなく、「なぜやるのか」「誰のためにやるのか」という「文脈（ストーリー）を紡ぐ」ことで、双方の理解を腹落ちさせ、境界線を溶かしていくプロセスを重視してきました。

DX＝「Dream eXpression（夢の実現）」：AIが「それっぽい正解」を瞬時に出す時代だからこそ、人間に求められるのは「良い問いを立てる力（右脳的思考）」です。フェラーリのデザインが「風との対話」から生まれたように、IT投資を単なるコスト削減ではなく、どんな未来を作りたいかという「想像（創造）」に変えていく思考法を提案します。

「皿回し」状態の一人情シスを救う「DXship(デジシップ)」： 数千人規模の基礎自治体でも、提供すべき行政サービスは都市部と同じ。限られた人数で無数のシステムを回す「孤独な皿回し」状態の担当者を救うため、広島県では都道府県として初となる「情報職」という専門職種を新設 。県で一括採用・育成した専門人材を市町へ派遣する「チーム広島」の画期的な仕組みを構築しました。

専門職としての誇りとキャリアパスの設計：3年ごとの人事異動で専門性が蓄積されない行政の課題に対し、4年かけて「情報職」のコンピテンシー定義やキャリアパスを確立 。最終ゴールに「CISO/CIO」だけでなく「民間でも通用する人材」を掲げ、情シス担当者が誇りを持てる土壌を整えた苦労と成果を語ります。

＜ゲスト・プロフィール＞

桑原 義幸（くわはら・よしゆき）さん 

前広島県情報戦略部長(2024年3月退官)。デジタルイクイップメント、KPMG、Arthur Andersen（現PwC）等の米系企業にてIT分野の研究開発や経営コンサルティング業務に従事。 2003年の金融庁入庁を皮切りに会計検査院、原子力規制委員会、福岡市などの情報部門責任者として要職を歴任。 2011年広島県CIOに就任し、退官までの13年間で同県をデジタル先進県へと導いた。現在、NECエグゼクティブストラテジスト、株式会社ArteVisione&Co. 代表取締役、株式会社Trive常務執行役員社長補佐兼CTOなど複数の業務に従事。

■□ 収録後記 □■

桑原さんのお話の中で最も印象的だったのは、DXの「X」を「トランスフォーメーション」という難しい言葉ではなく、「eXpression（表現・実現）」と捉える視点です。とかく技術的なスペックやコストの議論に終始しがちなITの世界に、「どんな夢を叶えたいか」という人間中心の温度感を持ち込むことの大切さを教わりました。

また、地方自治体で孤軍奮闘する担当者の「やっと一人じゃなくなった」という言葉には、組織の壁を超えた連携の真の価値が凝縮されています 。

後半（3月13日公開予定）は、「信頼資本」と「失敗の資産化」というさらに深いテーマに踏み込んでいきます。どうぞお楽しみに。

（JCGR編集部）

有名ホワイトハッカー西尾素己さんを迎えた前回（前半）は、ランサムウェア攻撃が「RaaS」としてビジネス化している実態や、検知を逃れる巧妙な潜伏技術、そして現代の最大の火種である「インフォスティーラー」の脅威について深掘りしました。 

▼前編はこちら
有名ホワイトハッカーが語るアサヒHDサイバー攻撃の裏側：境界型防御の終焉と「潜伏」の技術（ホワイトハッカー 西尾素己さん【前半】）
Spotify | Apple Podcasts

今回はその後半戦。なぜ多額の予算をかけた「模擬攻撃（ペネトレーションテスト）」をすり抜けて侵入を許してしまうのか。そして、バックアップを取っていたはずの企業が、なぜ数ヶ月もの復旧期間を要するのか。ホワイトハット（善意のハッカー）の視点から、従来のセキュリティ対策の「死角」を鋭く指摘していただきます。

■□ ハイライト □■
ペネトレーションテストは「万能」ではない：
侵入のルート（アタックパス）は数万通り存在し、テストですべてを網羅することは不可能です。業者が穴を見つけられなかったのではなく、サンプリングチェックとしてのテストの限界を理解し、いかに「面」で守る戦略を立てるかが重要であることを説きます 。

「年商4,000億円」を稼ぐランサムウェア業者の経済合理性：
 RaaS（サービスとしてのランサムウェア）の運営者は、ロシアの富豪（オリガルヒ）を超える数千億円規模の収益を上げています。この莫大な利益がさらなる技術投資を生む「悪のサイクル」と、法律遵守を優先する大企業よりも、キャッシュフロー維持のために身代金を支払ってしまう中小企業がターゲットにされている現実を明かします。

バックアップがあるのに「復旧できない」技術的背景：
データ自体は無事でも、OSより下のレイヤー（BIOSやUEFI）や設定ファイル（コントロールプレーン）が汚染されている場合、復旧先を完全に「除染」できなければ再開は不可能です。バックアップが機能しない深層的な理由と、設計段階からセキュリティを組み込む「セキュリティ・バイ・デザイン」の必要性を解説します。

「CFOが不在」の会社はないのに、なぜ「CISO」はいないのか：
日本企業に多い「CIO/CTO/CISOの兼務」を、西尾さんは「経営としてお粗末」と断じます。サイバーリスクが事業継続を左右する現代において、専門の責任者（CISO）を役員クラスに配置し、適切なキャリアパスを構築することが、日本のセキュリティ人材不足を解消する鍵であることを提言します。

＜ゲスト＞西尾 素己（にしお・もとき）さん
幼少期より世界各国の著名ホワイトハットと共に互いに各々のサーバーに対して侵入を試みる「模擬戦」を通じてサイバーセキュリティ技術を独学。サイバーセキュリティ研究者、ホワイトハット。アンチウイルスエンジンの開発等を経て、現在はコンサルティング、アカデミア、安全保障の3つの観点から活動している。海外の捜査機関と連携し、サイバー攻撃ツールの解析や海外当局への捜査協力に従事するなど、最前線でサイバー犯罪の抑止に貢献している。

■□ 収録後記 □■
 西尾さんとの対話を通じて突きつけられたのは、セキュリティを「コスト」や「後付けの装備」と考える時代の終わりです。 特に、「日本のマーケットでは、インシデントを起こした企業の株価が上がることすらある。それは『ようやくまともな投資をするはずだ』という投資家からの皮肉な期待値である」というお話は、日本の経営層にとって非常に重い指摘ではないでしょうか。

セキュリティ担当者の皆様の価値は「現在の給料の5倍はある」という西尾さんの熱いエールとともに、今回の後半戦が、皆様の組織におけるガバナンスとキャリアのあり方を見直すきっかけになれば幸いです。

（JCGR編集部）

近年、日本を代表する大企業が相次いで大規模なサイバー攻撃の標的となっています。技術の進歩とともに攻撃の手法は高度化し、もはや従来の「ウイルス対策ソフトを入れていれば安心」という時代は完全に過去のものとなりました。では、現代の攻撃者はどのような「道具」を使い、どのようにして企業の防壁をすり抜けてくるのでしょうか。

リニューアル第2回のゲストは、ホワイトハッカー（善意のハッカー、ホワイトハット）として国内外で活躍され、海外の捜査機関とも連携してサイバー犯罪の抑止に取り組んでいる西尾素己さん。最近、大きな話題となったアサヒHDの事例も交えながら、実際の攻撃ツールの解析を通じて見えてきた、ランサムウェア攻撃の驚くべきエコシステムや、検知を逃れるための巧妙な潜伏テクニックについて、ホワイトハッカーならではの視点で解き明かしていただきます。

前半は、攻撃者が利用する「RaaS（サービスとしてのランサムウェア）」の実態から議論を始め、VPNの脆弱性や、現代のセキュリティにおける最大の火種である「インフォスティーラー」の脅威について深く掘り下げました。

＜ゲスト＞西尾 素己（にしお・もとき）さん
幼少期より世界各国の著名ホワイトハットと共に互いに各々のサーバーに対して侵入を試みる「模擬戦」を通じてサイバーセキュリティ技術を独学。サイバーセキュリティ研究者、ホワイトハット。アンチウイルスエンジンの開発等を経て、現在はコンサルティング、アカデミア、安全保障の3つの観点から活動している。海外の捜査機関と連携し、サイバー攻撃ツールの解析や海外当局への捜査協力に従事するなど、最前線でサイバー犯罪の抑止に貢献している。

■□ ハイライト □■

攻撃ツールも「サブスク」と「サポート」の時代 

現代のランサムウェア攻撃は、ウイルス開発から交渉窓口のコールセンターまでがパッケージ化された「RaaS（Ransomware as a Service）」という業態で行われています。攻撃者がどのような組織体制で、どのように洗練されたツールを手に入れているのか、その衝撃の実態を明かします。

「メタルギア」さながらの単独潜入。Living off the Land（LotL）

ウイルス対策ソフトの目を盗むため、攻撃者はOS標準のコマンドを悪用する「Living off the Land（自給自足）」という手法を用います。銃を持ち込むのではなく「現地の売店で凶器を作る」ような、巧妙な潜伏と権限昇格のテクニック、そしてログを消去して監視を無効化する恐るべき技術を解説します。

パッチ適用率はわずか4割。VPNという名の「開かれた窓」

リモートワークの普及で欠かせなくなったVPNですが、攻撃者にとっては格好の標的です。脆弱性修正パッチの適用率がなぜこれほど低いのか、そして攻撃者が判明から3ヶ月以上経過した古い穴をいかに「おいしく」利用しているのか、境界型防御が限界を迎えている現状を指摘します。

5年の潜伏を経て牙を剥く「インフォスティーラー」

ブラウザに寄生し、あらゆるSaaSの認証情報を盗み出す「インフォスティーラー」の蔓延が、相次ぐインシデントの引き金となっています。数年間にわたる長期潜伏の末、ある日突然アカウントを乗っ取って侵入してくる「ID窃取型」攻撃のメカニズムを紐解きます。

中小企業こそ有利？ IDガバナンス主導のゼロトラスト

レガシーな巨大ネットワークを持つ大企業よりも、SaaSベースで動く中小企業やスタートアップの方が、実は最新の「ゼロトラスト」へ移行しやすいという意外な視点をお届けします。今後、企業が生き残るために優先すべき「ガバナンス」と「セキュリティ」の力点の違いを語ります。

■□ 収録後記 □■

西尾さんのお話の中で特に印象的だったのは、セキュリティはもはや「総合格闘技」であるという言葉です。単にツールを導入するだけでなく、攻撃者の心理やOSの深部までを見通す洞察力が求められています。

特に「リビング・オフ・ザ・ランド」を例えた、空港のセキュリティゲートを素手で通り抜け、売店の商品を組み合わせて武器を作るという比喩は、現代の脅威の本質を見事に言い当てています。また、大企業だけでなく、SaaSを多用する中小企業の方が実はリスクの「ど真ん中」にいるという指摘は、多くの担当者にとって身が引き締まる話だったのではないでしょうか。

今回の前編は、後半で語られる「ガバナンスの本質」や「これからの時代の守り方」を理解するための重要な土台となります。自社のセキュリティの常識を疑うきっかけとして、ぜひお聴きいただければ幸いです。後半は2月6日に公開予定です。お楽しみに！

前回（前半）は、セキュリティが技術的な問題から経営課題へと「潮目」が変わった背景と、人の弱さを前提に組織を守る「性弱説」という新たなアプローチについて深掘りしました 。 

▼前編はこちら 

「性弱説」で守る組織と人。経営課題となったサイバーセキュリティの現在地（NTTセキュリティ・ジャパン斉藤宗一郎さん【前編】）

Spotify | Apple Podcasts

今回はその続編として、より実践的な組織論とリーダーシップに迫ります。ぜひ後半をお楽しみください。

サイバーセキュリティが「経営課題」であるならば、経営層や監査部門は具体的にどう関与すべきなのでしょうか。そして、未知の領域である「生成AI」のリスク管理は誰が主導すべきなのでしょうか。

元資生堂グループCISOで、現在はNTTセキュリティ・ジャパンにてCISOアドバイザーを務める斉藤宗一郎さんをお迎えしたリニューアル第1回の後半戦 。 今回は、組織のガバナンス構造（3線モデル）の理想と現実、そしてNTTグループで実施されているユニークな「社長研修」のエピソードを通じて、組織全体でリスクに立ち向かうための実践的な処方箋を紐解きます 。

■□ ハイライト □■
「1.5線」のジレンマと、監査部門へのエース投入：

ガバナンスの基本である「3線モデル」に対し、多くの日本企業は現場とセキュリティ部門が入り混じった「1.5線」の状態に留まっています。この状況を打破するために斉藤さんが実践したのは、セキュリティ部門のエース人材をあえて「監査部門（3線）」へ異動させるという人事戦略でした。その意図と、組織全体にもたらす効果について解説します。

生成AIのガイドライン策定は誰の仕事か？ ：

生成AIのリスクは、技術的なセキュリティだけでなく、倫理（Ethics）、法務（Legal）、社会的影響（Social Impact）の「ELSI」を含みます。IT部門任せにするのではなく、経営戦略や法務部門がオーナーシップを持ち、多角的な視点でガイドラインを策定する必要性を議論します。

IT用語禁止？ NTTグループの「社長研修」： 

NTTグループで実施されている経営層向けセキュリティ研修では、あえてIT用語を一切使いません。学ぶのは技術ではなく「有事の振る舞い」。「復旧を急げ」「徹底的に調べろ」――社長の何気ない一言が現場を萎縮させ、証拠隠滅や判断ミスを招くリスクについて、リアルなシミュレーションを通して学びます。

平時の備えとしての「セキュリティのかかりつけ医」： 

サイバー攻撃を受けた際、初対面の専門業者（フォレンジックベンダー）に調査を依頼しても、ネットワーク構成の把握から始まり初動が遅れてしまいます。人間の医療と同じく、平時から自社の「健康状態」や「体質」を理解している信頼できるパートナー（かかりつけ医）を持つことの重要性を説きます。

＜ゲスト・プロフィール＞
斉藤 宗一郎（さいとう・そういちろう）さん 

NTTセキュリティ・ジャパン株式会社 CISOアドバイザー 日本IBM、米国の通信会社ベライフォンでのサイバーセキュリティコンサルタントを経て、資生堂にて6年間情報セキュリティ責任者（CISO）を務める。現場の運用からコンサルティング、そして全体を俯瞰するCISOまで、粒度の異なる視点を行き来する豊富な経験を持つ。

■□ 収録後記 □■
後半の議論で特に心に残ったのは、「有事の際の社長の一言の重み」です。自動車の運転でパニックブレーキを普段から練習していないと踏めないように、経営者もサイバーインシデントという「有事」のシミュレーションをしておかなければ、適切なアクセルとブレーキの判断はできません。 

また、話題に挙がった「かかりつけ医」の重要性は、生活習慣病の救急搬送における「最初の15分が生死を分ける」という医療の現実とも重なります。日頃からカルテ（ネットワーク図や構成）を共有できるパートナーの存在が、企業の命運を左右することを痛感させられる回でした。 

セキュリティはゴールではなく、終わりのない「ジャーニー（旅）」です。日々プレッシャーと戦う担当者の皆様に、心からのエールを送ります。

（JCGR編集部）

サイバー攻撃の手法が高度化・巧妙化する中、企業のセキュリティ対策は大きな転換点を迎えています。もはやIT部門だけで完結する技術的な課題ではなく、経営層がリーダーシップを発揮すべき「経営課題」としての認識が不可欠です。しかし、具体的にどのように経営層を巻き込み、組織全体の意識を変えていけばよいのでしょうか。

今回より、ジャーナリストの川端由美が新パーソナリティを担当。リニューアル第1回のゲストに、元資生堂グループCISOで、現在はNTTセキュリティ・ジャパン株式会社にてCISOアドバイザーを務める斉藤宗一郎さんをお迎えし、実務的な視点からセキュリティの最前線を語っていただきます。

前半となる今回は、セキュリティ対策の「潮目の変化」と、人を疑うのではなく弱さを前提とする「性弱説」に基づいたガバナンスのあり方について議論を深めました。

■□ ハイライト □■
経営課題へシフトする「チームスポーツ」としてのセキュリティ：
かつてはIT部門内で完結していたインシデント対応ですが、現在はサプライチェーン全体や経営層を巻き込む事案が増加しています。米国では「チームスポーツ」とも表現されるこの変化の中で、なぜ今、セキュリティが企業存続に関わる経営マターとなっているのか、その背景を解説します。

「見えないものは守れない」ランサムウェアと投資判断：
どこにデータがあるか不明確な状態では、リスクを管理することはできません。被害者でありながら加害者のような対応を求められるランサムウェア被害の特殊性や、経営層から予算を獲得するために有効な「PML（予想最大損失）」を用いた定量的な対話手法について掘り下げます 。

性悪説でも性善説でもない。「性弱説」のアプローチ：
日本企業になじみ深い性善説、あるいは厳格な性悪説ではなく、斉藤さんは「人は本来弱いものである」という「性弱説」を提唱します。不正のトライアングル（動機・正当化・機会）のうち、組織がコントロール可能な「機会」をテクノロジーでいかに減らし、社員を魔が差す瞬間から守るかという視点は必聴です。

IT部門任せにしない「データオーナーシップ」：
データの価値や鮮度（いつまで機密として守るべきか）を最も理解しているのは、IT部門ではなく事業部門（データオーナー）です。一律に鍵をかけるのではなく、ビジネスの現場が主体となって情報の重要度を判断し、適切な強度で守るための役割分担について語ります。

＜ゲスト・プロフィール＞
斉藤 宗一郎（さいとう・そういちろう）さん
NTTセキュリティ・ジャパン株式会社 CISOアドバイザー
日本IBM、米国の通信会社ベライフォンでのサイバーセキュリティコンサルタントを経て、資生堂にて6年間情報セキュリティ責任者（CISO）を務める。現場の運用からコンサルティング、そして全体を俯瞰するCISOまで、粒度の異なる視点を行き来する豊富な経験を持つ。

■□ 収録後記 □■
今回の対話の中で特に印象的だったのは、「ファイアウォールなどの防御壁は、防火扉のようなもの。利便性のために開けっ放しにしていては、いざという時に役に立たない」という工場になぞらえた例え話でした。
エンジニア出身の私（川端）にとって非常に腹落ちする説明であり、見えにくいデジタルのリスクを物理的な現場の安全管理に置き換えて考えることの重要性を再認識しました。また、「社員を監視する」のではなく、「弱い人間である社員を守るためにログを取る」という斉藤さんの温かい眼差しは、セキュリティガバナンスの冷たいイメージを覆すものでした。
後半ではさらに組織論に踏み込み、ガバナンスの構造や経営リーダーシップについて伺います。

（JCGR編集部）