PHP脆弱性に企業はどう対応するか 届かない情報の構造

PHPの脆弱性が総理の発言にまで及ぶ話題になった。ただ私が一番怖いと感じたのは話題の大きさではない。大多数の企業がこの件を把握していないのではないかという点だ。この記事ではPHP脆弱性に企業がどう対応するかを情報が届く経路の問題として整理し自社で今日確認できる問いと手順をまとめる。

PHP脆弱性が総理の発言に届いた意味

技術の細かい話が国の代表の言葉になることはそう多くない。普段なら専門家の間で共有されて終わる種類の情報が政治の言葉として外に出たということは注意を向けるべき状況だと受け取っていい。

ただ話題の大きさと現場の対応状況は別の話だ。私の実感ではXやニュースをタイムリーに見て自社の対策まで動かしている経営者やシステム管理者は相当限られている。話題になった瞬間に動いた一部と何も知らないまま日常業務を続けている大多数に分かれる。そして後者には「自社が対象かどうかを確認していない」という自覚すら生まれない。知らないことは心配にならないからだ。

ここで起きているのは技術の問題というより情報が届くかどうかの問題だ。同じニュースが同じ日に流れているのに受け取れた企業と受け取れなかった企業に分かれる。その差がどこから生まれるのかを先に見ておきたい。

情報が届く企業と届かない企業の差

受け取れている企業に共通しているのは個人の能力ではなく経路があることだと思う。差は次の三点に出る。

• 見る人が決まっているか。手が空いた人が気づく運用では見落ちる
• 見る場所が決まっているか。流れてくる投稿だけに頼ると届く日と届かない日が生まれる
• 見た後に言える場があるか。気づいた人が言い出しにくい組織では情報が個人の中で止まる

逆に届かない企業では担当が曖昧なまま誰かが見ているはずという前提で回っている。外部に制作を任せたサイトや何年も触っていない社内ツールは特にそうなりやすい。問題なく動いているものは意識から外れる。更新の必要があるという発想自体が出てこない。

もう一つの要因は時間差だ。最初に出る情報は専門家向けの表現で書かれていることが多い。自社にとって何をすべきかという形に翻訳されるまでには時間がかかる。その翻訳を待っている間に対応の余裕は減っていく。だから情報を受け取る側が自分で翻訳できる状態を先に作っておく必要がある。

自社で今すぐ確認できる三つの問い

大がかりな体制づくりの前に次の三つを声に出して確認してほしい。答えが出ないものがあればそこが自社の穴だ。

1. 誰が見る役割なのか

役職ではなく名前で答えられるかを確認する。「情報システム部で見ています」は答えになっていない。見る人が一人しかいないなら休みの日に誰が見るのかまで決めておく。兼任でも構わないが本人が自分の仕事だと認識していることが条件だ。

2. 自社で何が動いているのか

自社のサイトや社内ツールがどの基盤の上で動いているのかを一覧にできるかを確認する。誰が作ったのか今も保守の契約があるのか連絡先は生きているのか。ここが分からないと脆弱性の情報を見ても自社が対象かどうかを判断できない。影響範囲を確認できない企業は実質的に対応できない。知らせが届いても動けないからだ。

3. 見た後に何が起きるのか

危ないと分かった時に止める判断を誰がするのかを決めておく。公開中のサービスを一時的に止める判断は現場だけでは重い。経営側が事前に「この条件なら止めていい」と言っておくだけで現場の動きは変わる。判断の遅れは技術ではなく権限の設計で起きることが多い。

見た人が動けるようにする手順

私が勧めるのは小さく始めて続く形にすることだ。次の順番で作ると負荷が低い。

1. 棚卸し。公開しているものと社内で使っているものと外部に作ってもらったものを一枚の表にする。完璧を目指さず分かる範囲で始める
2. 情報の入口を決める。使っている技術やサービスの公式の告知を受け取れる状態にする。流れてくる投稿は補助として扱う
3. 受け取り先を決める。社内のどのチャンネルに集めるかを一つに絞る。集まる場所が複数あると誰も見なくなる
4. 判断の基準を書いておく。どういう条件なら即日動くのかを一行で決める。曖昧なままだと毎回会議になる
5. 一度だけ練習する。実際の話題を題材に表を見て影響範囲を調べて関係者に連絡するところまでやってみる。やってみると連絡先が切れていることに気づける

この五つは一日で終わる規模から始められる。重要なのは仕組みの精度より次に同じことが起きた時に同じ手順をなぞれる状態になっていることだ。

日本企業でつまずく場所と海外企業への示唆

日本の企業でよく見るつまずきは三つある。一つは外部に任せた範囲の責任が宙に浮くこと。作ってもらったきりで運用の担当が決まっていないケースは多い。二つめは判断を上げるのに時間がかかること。緊急時の例外ルートがないと手続きの途中で時間が過ぎる。三つめは「うちは規模が小さいから関係ない」という感覚だ。規模は対象かどうかの判断に関係ない。

もう一つ日本特有の事情として言語の時間差がある。最初に出る一次情報が日本語でない場合に現場に届くまでのラグが生まれる。これは注意喚起をする側にとっても他人事ではない。

日本市場に届けたい海外企業への示唆

日本の利用者に向けて注意喚起をするなら英語の告知だけでは現場まで届きにくいという前提で設計したほうがいい。必要なのは二種類の文章だ。経営層が読んで止めるかどうかを判断できる短い説明と担当者がそのまま動ける手順。この二つを日本語で同時に出せるかどうかで届き方が変わる。技術的に正確なだけの文章は専門家には届くが大多数の企業には届かない。

この話を自社でどう活かすか

今回のことから持ち帰れるのは個別の対処法ではなく自社に情報が届く経路があるかという問いだと思う。総理が言及するほどの話題でも社内に届かないなら次に何が起きても同じことになる。見る人と見る場所と見た後の動きを決めておく。それだけで知らないまま過ぎる状況は減らせる。AIの導入を進めている企業ほど使っているものは増えているはずなので棚卸しの価値は上がっている。