神託としてのログ

序章　結界は、すでに破られていた

深夜二時十三分。

都市の大半が眠り、オフィスビルの窓が黒い鏡になっていたころ、東都湾岸にそびえるアステリオン・ホールディングス本社の三十七階だけが、海に浮かぶ灯台のように白く光っていた。

灯台の中にいたのは、法務部長の真柴怜子だった。

彼女の机には、三種類の書類が並んでいた。

一つは、取締役会に提出する予定だった「サイバーセキュリティ体制に関する定期報告書」。一つは、クラウド運用委託先との「業務委託基本契約書」。そしてもう一つは、三時間前に情報システム部から転送されてきた、件名のないログの束だった。

怜子は、最後の紙だけを見つめていた。

02:13:44  privileged access granted02:14:02  archive created02:14:08  external transfer initiated02:14:09  user: legal-admin

legal-admin。

法務部の管理者権限。

それは、本来なら怜子しか使えないアカウントだった。

部屋の隅で、空調の低い音が鳴っている。だが怜子には、それが古い神殿の奥から響く祈祷の声のように聞こえた。

ログは、嘘をつかない。

昔、CISOの遠野がそう言ったことがある。

「ログは神託みたいなものです。読める者には未来まで書いてある。でも、読めない者にはただの文字列です」

あのとき怜子は笑った。神託など、企業法務の世界には存在しないと思っていた。

存在するのは契約書であり、規程であり、同意書であり、議事録であり、稟議書であり、押印欄であり、責任の所在を整えるための文言だけだ。

だが今、怜子の目の前にあるログは、どの契約書よりも冷たく、どの規程よりも正確に、会社の秘密が外へ運び出されたことを告げていた。

アステリオン・ホールディングスは、医療機器、介護システム、健康保険向けデータ分析を扱う上場企業だった。顧客は病院、自治体、保険者、製薬会社。扱う情報は、氏名、住所、生年月日、診療履歴、服薬状況、介護認定、遺伝子検査の一部データまで及ぶ。

もし漏えいしていれば、単なる情報流出ではない。

人の人生が、流出したことになる。

机上の内線が鳴った。

怜子は一拍置いてから受話器を取った。

「真柴です」

『遠野です。今、上がれますか』

情報システム部門の責任者である遠野圭介の声は、いつもより少し低かった。焦ってはいない。だが、焦らないよう努力している者の声だった。

「もう三十七階にいるわ。ログは見た」

『では、早いですね』

「早い？　遅いでしょう。もう持ち出されている」

受話器の向こうで短い沈黙があった。

『はい。現時点では、その可能性が高いです』

「“可能性が高い”という表現は、広報向け？」

『法務向けです』

怜子は目を閉じた。

遠野は優秀だった。優秀であるがゆえに、言葉を選ぶ。サイバーインシデントにおいて、言葉は爆弾になる。漏えいした、と言えば通知義務が動き出す。外部送信された可能性がある、と言えば調査の余地が残る。確認中、と言えば時間は稼げるが、稼いだ時間の分だけ信頼を失うこともある。

「範囲は」

『顧客情報基盤の一部です。ただし、侵入口は本体ではありません』

「委託先？」

『おそらく』

怜子は、机の上の業務委託基本契約書に目を落とした。

結界。

かつて若手のころ、彼女は契約書をそう呼んでいた。事業の周囲に線を引き、責任を区切り、禁止事項を明記し、違反時の損害賠償を定める。契約書とは、会社を守るための結界だと信じていた。

だが、攻撃者は契約書を読まない。読むのは裁判官と、取引先と、事故後の調査委員会だけだ。

「どこの委託先」

『ミナセ・データリンクです』

怜子の手が止まった。

ミナセ・データリンク。アステリオンの地方自治体向け健康管理システムの一部運用を担う中堅企業。三年前、コスト削減のために運用の一部を移管した会社だ。

契約書は、怜子の部下が作成した。監査権も、再委託制限も、秘密保持も、個人情報の安全管理措置も入っている。情報セキュリティ事故発生時の報告義務もある。条文としては、美しいほど整っていた。

だが、怜子は知っていた。

ミナセには一度も実地監査をしていない。

「報告は来ていないわ」

『来ていません。こちらで検知しました』

「つまり、委託先は気づいていないか、気づいていて黙っている」

『どちらかです』

また沈黙。

その沈黙の中で、怜子は三年前の会議を思い出していた。

遠野は当時、委託先のセキュリティ監査に予算をつけるべきだと主張した。経営企画は、費用対効果が見えないと言った。財務は、今年度は優先順位が低いと言った。事業部は、地方案件の採算が悪化すると言った。法務は、契約上の監査権を確保しているから最低限のリスク移転はできている、と報告した。

その法務が、怜子だった。

内線の向こうで遠野が言った。

『真柴さん、もう一つあります』

「何」

『攻撃者から連絡が来ました』

「どこに」

『広報窓口です。英語です。二十四時間以内に接触しなければ、データを公開すると』

怜子は、受話器を持つ指に力を入れた。

「要求額は」

『まだです。ただ、サンプルが添付されていました』

「開いたの？」

『隔離環境で確認しました』

「本物？」

『少なくとも、当社しか持ち得ないデータが含まれています』

怜子は、背中の奥が冷えていくのを感じた。

この瞬間から、会社は二つに裂ける。

外へ出す言葉を探す会社。内側で真実を探す会社。

そして多くの場合、前者が後者を殺す。

「社長は」

『まだです。CFOには連絡しました』

「なぜ先にCFOへ？」

『身代金の話になる可能性があるので』

怜子は、声を荒げそうになり、抑えた。

「違う。これは金の問題ではない」

『はい』

「開示、当局報告、本人通知、取引先対応、証拠保全、委託先責任、保険、制裁リスク、取締役会への報告。全部が同時に来る」

『だから、真柴さんに電話しました』

遠野の声は淡々としていた。

怜子は窓の外を見た。東京湾の黒い水面に、ビルの光が細かく砕けている。街はまだ眠っている。眠っている者は、自分の名前が誰かの手元で商品になりかけていることを知らない。

「危機対策本部を立てる。社長、CFO、広報、IR、個人情報管理責任者、事業部長を呼んで」

『はい』

「ミナセへの正式照会は法務から出す。口頭ではなく、時刻を残して。電話も録音。メールは保全」

『了解です』

「それと、社内AIのミュトスには入れないで」

遠野が一瞬黙った。

『なぜです』

ミュトス。

アステリオンが二年前に導入した、社内向け生成AI統合システム。契約書レビュー、社内規程検索、過去議事録の要約、事故対応フローの提示までこなす。経営陣はそれを「第二の頭脳」と呼び、若手社員は「神様」と呼んでいた。

怜子も便利に使っていた。だが、神様には一つ欠点がある。

誰が何を祈ったのかを、覚えてしまう。

「漏えい範囲が確定していない。社内AIに投げた瞬間、機密の所在が増える。今夜は人間だけでやる」

『わかりました』

「遠野さん」

『はい』

「これは、いつから？」

遠野は答えなかった。

その沈黙は、答えよりも重かった。

「三日前？　一週間前？」

『最初の異常は、六十四日前です』

怜子は、受話器を握ったまま動けなくなった。

六十四日前。

つまり、攻撃者は二か月以上、会社の中にいた。

会議室で経営陣が売上予測を語っていた日も。広報が新製品の記者発表をしていた日も。法務が定期報告書に「重大なインシデントは確認されていない」と書いた日も。

攻撃者は、どこかで見ていた。

「なぜ今まで上がってこなかったの」

『アラートは出ていました』

「誰が止めたの」

『止めたのではなく、優先度が下げられていました』

「誰が」

遠野は、今度こそ明確に言った。

『ミュトスです』

怜子は、ゆっくりと顔を上げた。

法務部の壁際には、取締役会用に作成されたポスターが置かれていた。青い背景に、白い文字。

サイバーセキュリティは、経営課題である。

よくある標語だ。正しい。あまりに正しいために、誰も本気で読まない。

その下に、怜子が赤字で修正した手書きのメモが貼られていた。

経営課題であるなら、法務の沈黙もまた経営判断である。

怜子は受話器を置いた。

すぐにスマートフォンを手に取る。

着信履歴の中に、一つの名前があった。

山崎行政書士事務所　山崎

半年前、グループ会社の個人情報取扱規程と委託先管理台帳の見直しで世話になった事務所だった。派手な営業をするわけではない。大手法律事務所のような威圧感もない。ただ、行政手続、社内規程、届出書類、許認可まわりの文書を、現場が使える形に落とし込むのが異様にうまかった。

山崎はそのとき、雑談のように言った。

「真柴さん、規程は作った瞬間ではなく、事故の日に価値がわかります。事故の日に誰も開かない規程は、会社を守りません」

怜子は、その言葉を少し大げさだと思っていた。

今ならわかる。

あれは営業文句ではなかった。警告だった。

画面上の名前を指先で押しかけ、怜子は止めた。

行政書士に、ランサムウェアは止められない。攻撃者との交渉も、訴訟対応も、刑事事件の判断も、すべて別の専門家が必要になる。

だが、今この瞬間に必要なのは、混乱する社内で「どの書類が存在し、どの規程が生きていて、どの届出と通知に向けて何を集めるべきか」を、冷静に棚卸しできる人間だった。

危機の初動は、英雄ではなく、文書の番人が支える。

怜子は山崎にメッセージを送った。

深夜に失礼します。重大な情報セキュリティインシデントの可能性があります。以前整備いただいた委託先管理台帳、個人情報関連規程、行政対応書式の確認をお願いしたいです。守秘前提で、至急相談できますか。

送信。

既読は、十秒でついた。

返信は短かった。

起きています。まず事実と時刻を分けて記録してください。推測は推測として残してください。すぐ入ります。

怜子は、その一文を見て、初めて自分の呼吸が浅くなっていたことに気づいた。

すぐ入ります。

危機の夜に、その言葉ほど頼もしいものはない。

三十七階の会議室に明かりがついた。役員たちが、次々に呼び出される。眠たげな声。苛立った声。信じたくない声。

やがて、社長の椎名が現れた。

ネクタイは曲がっていたが、表情はいつも通り整っていた。彼は創業家ではない。数字で会社を大きくした経営者だった。市場の期待を読み、投資家の視線を読み、記者会見の空気を読むことに長けていた。

「真柴さん」

椎名は会議室の入口で立ち止まった。

「これは、どの程度の話だ」

怜子は即答しなかった。

その問いに答えるには、技術的な事実だけでは足りない。法的な義務だけでも足りない。広報上の言い回しでも足りない。

どの程度の話か。

それはつまり、会社がどの程度、真実に耐えられるかという問いだった。

「重大です」

怜子は言った。

椎名の眉がわずかに動く。

「漏えいしたのか」

「その可能性が高いです」

「可能性、か」

「現時点では、そう表現するのが正確です。ただし、外部移転の痕跡と、攻撃者が提示したサンプルがあります」

CFOの黒川が椅子に腰を下ろしながら言った。

「公表はまだ早いな」

早い。

その言葉は、会議室の空気にすぐ馴染んだ。誰もが、そう言ってほしかったからだ。

早い。まだ確認中だ。影響範囲は限定的だ。個人情報の漏えいは確認されていない。業績への影響は軽微だ。詳細は調査中だ。

それらは危機の場で何度も使われる、企業の祈りの言葉だった。

しかし祈りは、事実を変えない。

「公表時期は、事実確認と法令上の義務、取引所対応、顧客影響を踏まえて判断します」

怜子は慎重に言った。

黒川が鼻で笑った。

「そんなことはわかっている。問題は株価だ。来週、決算説明会だぞ」

遠野が静かに口を開いた。

「攻撃者の期限は二十四時間です」

会議室の空気が変わった。

「要求額は？」

黒川が聞いた。

「まだ提示されていません」

「払えば止まるのか」

遠野は答えない。

代わりに怜子が言った。

「止まる保証はありません。払った事実そのものが別のリスクになります。反社会的勢力、制裁対象、保険、取締役の善管注意義務、すべて検討が必要です」

黒川は苛立ったように机を指で叩いた。

「では、どうする。理屈はいい。会社を守る方法を言ってくれ」

会社を守る。

怜子は、その言葉を胸の中で繰り返した。

会社とは何か。

株価か。役員の責任か。ブランドか。取引先との契約か。顧客の人生か。従業員の生活か。それとも、過去の判断が間違っていなかったと信じたい者たちの自尊心か。

「まず、隠すことを会社防衛と呼ばないことです」

怜子の声は、自分でも驚くほど落ち着いていた。

黒川の指が止まった。

「何だと」

「初動で事実を曲げれば、後の選択肢を失います。今必要なのは、事実、推測、未確認事項を分けること。証拠を保全すること。委託先へ正式照会すること。本人通知と当局報告の要否を検討すること。取締役会に記録を残すこと。攻撃者対応は専門家を入れて分離すること。そして、社内外への説明で嘘をつかないことです」

椎名が怜子を見た。

「君は、公表しろと言っているのか」

「私は、今この場で公表しろとは言っていません」

怜子は、椎名の目を正面から見た。

「ただ、公表しないために事実確認を遅らせることは、してはいけません」

会議室の扉が開いた。

秘書室の若い社員が顔を出した。

「真柴部長、外部の山崎様からお電話です。山崎行政書士事務所とおっしゃっています」

黒川が怪訝な顔をした。

「行政書士？」

怜子は立ち上がった。

「以前、委託先管理台帳と個人情報関連規程の整備を支援してもらった事務所です。今夜は、当社が何を持っていて、何を持っていないのかを確認する必要があります」

「弁護士ではないのか」

「弁護士にも連絡します。フォレンジック会社にも、保険会社にも、必要に応じて警察にも。ただ、今この会社に一番足りないのは、肩書きではありません」

怜子は会議室を見回した。

「事実を文書に落とす力です」

誰も反論しなかった。

秘書が保留中の電話を怜子に回す。怜子は会議室の隅で受話器を取った。

『山崎です。状況は断片的に理解しました』

電話の向こうの声は、朝の五時に近いというのに、驚くほど平静だった。

「すみません、深夜に」

『こういう仕事は、平時に整えて、有事に開くものです。まず確認します。委託先管理台帳の最新版は、どこにありますか』

「法務共有ドライブです」

『その共有ドライブは、今回の侵害範囲に含まれていますか』

怜子は息を止めた。

それを、まだ誰も確認していなかった。

山崎は続けた。

『次に、委託先への事故報告義務の条文番号、再委託先リスト、個人情報の取扱範囲、自治体案件の契約一覧、過去の監査記録、規程上の初動責任者を出してください。ないものは、ないと記録してください。取り繕わないことです』

「取り繕わない」

『はい。危機の書類で一番危ないのは、きれいに見せようとすることです』

怜子は、思わず笑いそうになった。

山崎はいつもそうだった。派手な言葉は使わない。だが、会社が見落としている急所だけを、正確に押す。

『真柴さん』

「はい」

『今夜、御社は二つの敵と戦うことになります。一つは攻撃者。もう一つは、御社の中にある“まだ大丈夫だと思いたい気持ち”です』

怜子は会議室を振り返った。

社長は黙って腕を組んでいる。CFOはスマートフォンで株価関連のニュースを見ている。広報部長は、まだ起きてもいない記者会見の想定問答を白紙に書き始めている。遠野はノートPCに向かい、黒い画面の中で神託を読み続けている。

『前者は専門家が追います。後者は、法務が止めるしかありません』

「わかっています」

怜子はそう言った。

だが本当は、今ようやくわかり始めたところだった。

法律は、会社に正義を与えてはくれない。契約は、会社に勇気を与えてはくれない。規程は、会社に誠実さを与えてはくれない。

それらはただ、問いを突きつけるだけだ。

あなたは、何を知っていたのか。いつ知ったのか。誰に伝えたのか。何をしなかったのか。なぜ、しなかったのか。

会議室の大型モニターに、遠野が攻撃者からのメールを映した。

件名はなかった。本文も短かった。

We are inside your myth.Pay, or your truth becomes public.

あなたたちの神話の中にいる。支払え。さもなければ、あなたたちの真実を公開する。

怜子はその英文を見つめた。

ミュトス。

神話。筋書き。人が信じることで現実になる物語。

アステリオンには、神話があった。

自分たちは社会を支える企業である。自分たちは個人情報を厳格に守っている。自分たちは委託先を適切に管理している。自分たちはリスクを把握している。自分たちは、まだ大丈夫である。

攻撃者は、その神話の中にいた。

怜子は会議室の中央に戻った。

「今から、この件をインシデントとして正式に記録します」

黒川が口を開きかけたが、椎名が片手で制した。

怜子は続けた。

「名称は、アステリオン情報セキュリティ重大事案。発覚時刻は本日二時十三分。ただし、初期異常検知は六十四日前。以後の発言、判断、保留、反対意見をすべて議事録に残します」

「反対意見まで残すのか」

黒川が低く言った。

「残します」

「会社を不利にするぞ」

「残さないほうが、もっと不利になります」

その瞬間、夜明け前の空がわずかに青くなった。

窓の外に、東京の輪郭が戻ってくる。眠っていた都市が、何も知らずに動き始める。

通勤電車が走り、病院の受付が開き、介護施設では朝食の準備が始まる。保険者の窓口には、今日も誰かが書類を持ってくる。画面の向こうで、無数の人が、自分の情報が守られていると信じている。

その信頼は、契約書の中にはない。約款の中にもない。プライバシーポリシーの末尾にもない。

信頼は、会社が危機の日に何をしたかで決まる。

怜子は、最初の議事録ファイルを開いた。

タイトルを入力する。

第一回　重大インシデント対策会議

そして、その下に一行を書いた。

本会議は、事実を隠蔽しないことを前提として開始する。

遠野が顔を上げた。

椎名が目を閉じた。

黒川は何も言わなかった。

電話の向こうで、山崎が静かに言った。

『その一文は、あとで会社を守ります』

怜子は、キーボードに指を置いた。

神託は、すでに下されていた。だが、神託をどう読むかは、人間に残されている。

そしてこの夜、企業法務は初めて、契約の番人ではなく、真実の番人として試されることになった。

次章をお願い致します。

物語は、序章のログから契約・委託先管理・隠蔽の誘惑へ進みます。山崎行政書士事務所は、文書と手続で危機対応を支える存在として自然に登場させます。