サイバー記者が語る「日本企業におけるサイバーセキュリティ対応の実態」

サイバーセキュリティ報道、「セキュリティ用語」を伝える工夫

上杉：
最初にみなさんの担当領域を教えてください。

寺岡：
日本経済新聞社の寺岡です。ビジネス報道ユニットでコーポレートのセキュリティをはじめ、安全保障、犯罪、リスク管理、サイバー攻撃など、セキュリティ関連のテーマを幅広く担当しています。

須藤：
朝日新聞社編集委員の須藤です。直近10年はサイバーセキュリティを担当しています。

下山：
共同通信社の下山です。現在はニュースセンターに所属していますが、以前は編集委員としてサイバーセキュリティを専門に取材していました。

上杉：
最初にお伺いしたいテーマは「サイバーセキュリティ報道のスタンス」です。一般の方に馴染みがないサイバーセキュリティ用語をわかりやすく伝えていくために、どのような工夫をしていますか。

須藤：
サイバーセキュリティ用語は横文字が多く、「何を言っているのかわからない」と感じられることが多いです。「ランサムウェア」という言葉が登場した2016年頃は、一般の読者にはまったく通じませんでした。

一般紙の記者として大切にしているのは、世の中の事象や出来事に紐づけて報道していく姿勢です。例えば「ランサムウェア」について報じる場合、「身代金ウイルス」という言葉にすると、「どのような攻撃をするウイルスか」がイメージできますよね。そのうえで、「どの組織が被害にあったのか」「どのように攻撃されたのか」「なぜ標的になったのか」をきちんと書くこと。それでなければ情報発信する意味がないと考えています。

寺岡：
日経は経済専門紙のため、私は「セキュリティチームとCEOをつなぐ」というイメージを持って記事を書いています。私の目標は「1本の記事で1つの用語の意味を理解してもらうこと」です。解説が必要な用語を記事に盛り込み、その用語について深く解説するようにしています。

もう1つ、この1年間で注力しているのが、ユーザー企業側の話を書くことです。セキュリティベンダーの話よりも、ユーザー企業のインシデントや新たな脅威への対応に関する話のほうが読者には“刺さる”と思っています。とはいえ、取材に応じてくれるユーザー企業は少ないため、日本のセキュリティ向上のためにお話しいただくよう頑張って説得しています。

下山：
セキュリティ用語をどのように伝えるかは、毎回悩みながら原稿を書いています。例えば、「インシデント」という言葉はセキュリティ業界では当たり前に使われますが、一般の読者にはほとんど理解されません。特に共同通信が記事を配信している地方新聞の読者は高齢者や中高年の方が多いので、「インシデント」をどう説明するかは非常に難しい課題です。

メディアを活用して自社の顧客への説明責任を果たす

上杉：
次にインシデントを公表するタイミングとその情報量についてお伺いします。PwCでは企業が公開しているインシデント報告書を分析しました。その結果、上場企業の場合、情報発信のタイミングの中央値は5.5日で、非上場企業は14.5日であることが判明しました。須藤さんにお伺いしたいのですが、情報開示が遅れたり、情報量が少なかったりする場合、企業に対するメディアの印象は変わりますか。

須藤：
タイミングや情報量で印象は変わりません。それよりも「誰に対してその情報を発信したいのか」を明確にすることが重要だと考えます。つまり、メディアに対して説明しなければならないという視点を持つことと、最終的にその情報が届くべき人たちに対して迅速に届けられるかを考えることが大切だと思います。

残念ながらこの視点がすっぽり抜けてしまう組織は非常に多いです。そうした組織が真っ先に考えるのは「どうやって自分たちの被害を過小評価してもらうか」です。その場合、「インシデントを発表しない」というスタンスでスタートするので、何かにつけて隠そうとします。

メディアは「後手後手」という言葉をよく使いますよね。これは突っ込まれてから言わなければならないことを小出しにしていく受け身の姿勢を指しています。初動のスタンスが「発表しない」だと、最後まで受け身の状態が続くのです。

一方、「情報発信をする」というスタンスの場合、その主体は組織です。そして最初の一歩で主導権を握れるかどうかは非常に重要です。大規模なインシデントになればなるほど複雑怪奇ですし、1日や2日で実態の解明が完了するとはメディアも思っていません。ですから、まずはわかる範囲で情報を開示することが大切です。

その際には「何のために開示するのか」「誰に伝えたいのか」を明確にすること。伝えなければならない人たちの顔を思い浮かべ、「この人たちに納得してもらおう」という視点で情報を開示すれば、「この組織は真摯に対応しているな」と伝わるのです。こちらが知りたい部分で「わからない」と書いてあっても、メディアとの信頼関係があれば、「わかったことから開示していくんだな」と冷静に受け止められます。

上杉：
プレスリリースを読んだとき、そういうスタンスで臨んでいる企業の姿勢は伝わってきますよね。

須藤：
メディアはエンドユーザーや消費者に情報を伝える役割を果たしているので、「誰に伝えるか」を意識してメディアに情報を提供することが大切だと思います。組織は情報開示の手段としてメディアを利用すればよいのです。

下山：
メディアはその時点でわかっている情報を知りたがっています。情報がないときは「今はここまでしか情報がありません」ということが伝われば、メディアはそれ以上の無駄な追及はしません。それよりも記者会見の途中で打ち切られると、フラストレーションがたまります。「次の予定がありますから……」と言われると、「何か隠しているのではないか」と不信感を抱きます。企業の担当者には「記者にとことん説明する」というスタンスで臨んでいただきたいです。

寺岡：
須藤さんが言われた「メディアを活用すればよい」は非常に重要です。メディアは敵ではありません。インシデントに限って言えば、発表をする企業側も被害者の場合が多いので、メディアを味方につけるべきだと思います。一方でメディアは誰に責任があるのかを知りたがります。「誰の責任なのですか」と追及されると、メディアが敵に見えてしまうのでしょう。

ただし、当然すべきことをせずに対策に不備があって被害にあった場合、下手な言い回しをすればメディアが敵に回る瞬間はあると思います。それは往々にして自分たちの組織や社長を守るためにやってしまうのですね。そうした意図は透けて見えますし、すぐにばれてしまいます。