第11章 説明できる会社

午前四時三分。

第三会議室のホワイトボードには、山崎が書いた新しい見出しが残っていた。

説明できる会社

三枝涼真は、その文字を見つめていた。

説明できる会社。

それは、きれいな言葉だった。広告のコピーにも見える。セミナー資料の見出しにも見える。

だが、今の三枝には、それが甘い言葉には見えなかった。

説明できる会社とは、何も問題がない会社ではない。攻撃されなかった会社でもない。完璧なセキュリティ製品をそろえた会社でもない。

説明できる会社とは、傷を見せられる会社だ。

何が起きたのか。何が分かっているのか。何がまだ分かっていないのか。何を止めたのか。何を戻していないのか。誰に何を伝えたのか。誰から何を待っているのか。次に何を変えるのか。

それを、嘘なく、過不足なく、相手に合わせた言葉で語れる会社。

三枝は、数日前まで、それをセキュリティだとは思っていなかった。

セキュリティとは、侵入を防ぐことだと思っていた。攻撃を止めることだと思っていた。脆弱性を潰し、アラートを減らし、端末を守り、バックアップを取ることだと思っていた。

間違ってはいなかった。

だが、それだけでは足りなかった。

攻撃者は、サーバだけを攻撃したのではない。会社の説明能力を攻撃した。

ならば、こちらの防御も、説明から始めなければならない。

山崎行政書士事務所の山崎は、ホワイトボードの前に立ち、すでに次の資料を組み立てていた。

「正午までに出すものを分けます」

山崎は、赤いペンで六つの枠を書いた。

一　取引先向け第二報二　個人情報影響に関する現時点報告三　端末管理基盤の不審利用に関する暫定説明四　委託先・再委託先を含む調査状況五　再発防止方針の骨子六　問い合わせ窓口と次回報告予定

秋山が、ノートPCを開き直した。

「全部、同じ文書にしますか」

山崎は首を横に振った。

「目的が違います。取引先向けは、相手が備えるための文書。個人情報影響は、報告・通知の判断資料。端末管理基盤は、業務影響と復旧方針の説明。委託先調査は、責任を断定せずに調査範囲を示す文書。再発防止方針は、経営として何を変えるかを示す文書です」

望月社長が言った。

「一つの事故なのに、文書が分かれる」

「はい」

山崎は答えた。

「一つの事故でも、読む人が違えば必要な説明が違います。全部を一つに詰めると、誰にも伝わりません」

三枝は、黙って聞いていた。

それは、システム構成と似ていると思った。

一つの巨大なシステムとして考えると、どこが壊れたのか分からない。機能ごと、権限ごと、ログごと、依存関係ごとに分けるから、直せる。

説明も同じなのだ。

山崎は、続けて言った。

「ただし、文書が分かれても、事実は一つです。時系列、判断記録、証跡、未確認事項は同じ基盤から引きます。別々の部署が別々の事実を語る状態にしてはいけません」

三枝は、思わず頷いた。

同じ時系列表から説明する。

この数日で、山崎が何度も言っていたことだった。

午前四時二十七分。

秋山が、取引先向け第二報のドラフトを読み上げた。

「“当社一部システム障害に関する第二報”」

山崎がすぐに言った。

「“障害”だけでは足りません。現時点では、不正アクセスの可能性を含むインシデントとして扱っています」

秋山は修正した。

当社一部システム障害および不正アクセス可能性に関する第二報

山崎は頷いた。

「良いです。ただし、冒頭で断定しすぎない。続けて、“現時点で確認している事実に基づく報告”と入れてください」

秋山は打ち込んだ。

望月が聞いた。

「“不正アクセス可能性”という表現で、取引先は不安になりますね」

山崎は答えた。

「不安になります。しかし、すでに注意喚起が必要な段階です。不安を避けるために曖昧にすると、相手が備えられません」

営業部長が腕を組んだ。

「でも、“可能性”ばかりだと逃げているように見えませんか」

山崎は静かに返した。

「可能性と書くべきところに可能性と書くのは、逃げではありません。逃げとは、可能性があるのに触れないことです」

営業部長は黙った。

三枝は、その言葉をメモした。

可能性を書くことは逃げではない。触れないことが逃げ。

山崎は、文面を整え続けた。

現時点で確認している事実一部の倉庫端末において、端末管理機能を通じた不審な構成変更の影響とみられる障害が発生し、ラベル発行および出荷処理に遅延が生じました。当社は、外部専門会社の協力を得て、当該端末管理命令、関連ログ、権限、委託先作業記録を調査しています。また、顧客担当者情報を含む可能性のある一部ファイルについて、外部から取得された可能性が高い操作ログおよび攻撃者による一部情報提示を確認しており、対象範囲と影響を調査しています。

秋山は、読み上げながら眉を寄せた。

「かなり踏み込んでいますね」

山崎は頷いた。

「はい。踏み込むべきところです。ただし、患者情報、全件漏えい、委託先責任、攻撃経路の断定はしていません。現時点の事実に絞っています」

久我が言った。

「技術的にも、この表現なら整合します」

三枝も頷いた。

「はい」

望月は、文面を読んでしばらく黙った。

そして言った。

「この文章は、当社に都合が良くはありませんね」

山崎は答えた。

「はい」

「でも、出せます」

「はい」

望月は、ゆっくり頷いた。

「では、続けましょう」

午前五時十一分。

個人情報影響に関する現時点報告の作成が始まった。

秋山の顔には、明らかな疲労があった。それでも、彼女の文章は昨日よりも迷いが少なくなっていた。

山崎が項目を確認する。

「対象ファイル名は、内部資料ではそのまま。対外文書では、“医療機関等のご担当者様に関する連絡先等を含むリスト”とします」

「件数は？」

「行数は約一万二千件。重複除外後の人数は確認中。文書では、“最大約一万二千件”または“約一万二千件の行データ”とし、人数とは分けます」

「含まれる情報は？」

「氏名、所属、部署、役職、業務用メールアドレス、電話番号、緊急連絡先、納品条件、備考。患者情報や診療情報は、現時点では確認していない」

秋山が入力しながら言った。

「“現時点では確認していない”ですね」

「はい。“含まれていない”と断定するには、全件確認が必要です」

久我が補足した。

「技術的には、対象ファイルには患者情報は見えていません。ただ、他ファイルの調査が続いています。表現は慎重でいいです」

秋山は頷いた。

山崎は続けた。

「二次被害の注意喚起も入れます」

文面には、次のように書かれた。

当社を装ったメール、配送遅延・緊急連絡網更新・代替配送先登録等を口実とする不審な連絡、添付ファイルやリンクの確認依頼、振込先変更依頼等にはご注意ください。疑わしい連絡を受けた場合は、当社の既存窓口または本報告に記載の専用窓口へご確認ください。

営業部長が、文面を見ながら言った。

「これを出せば、少なくとも相手は備えられる」

山崎は頷いた。

「はい。情報漏えい対応の目的は、会社の弁明だけではありません。二次被害を防ぐことです」

望月が言った。

「本人通知については？」

秋山が答えた。

「取引先法人を通じた注意喚起と、必要に応じた個別対応の両案を作っています。連絡先の性質上、まず法人窓口へ正式連絡し、対象者への展開方法を協議する案が現実的です」

山崎が補足した。

「ただし、法人経由だけで足りるかは、情報内容と本人への影響可能性を見て判断します。行政報告用資料には、その検討経過も入れます」

望月は頷いた。

「お願いします」

三枝は、秋山の画面を見ていた。

文章が、会社の防御になっている。

ただし、それは隠すための文章ではない。相手が備えるための文章だった。

午前五時五十六分。

端末管理基盤に関する暫定説明の作成では、久我と山崎のやり取りが続いた。

「“端末管理基盤が乗っ取られた”は使わないでください」

久我が言った。

「完全掌握の証拠はまだありません」

山崎は頷いた。

「では、“当社端末管理機能の一部が不正または不審に利用された可能性”」

「それでいいです」

「“端末管理命令により、一部倉庫端末に構成変更が行われ、ラベル発行等に影響した可能性が高い”」

「はい。ただ、“可能性が高い”で留めてください。端末ごとの差分確認が続いています」

「“当社は、同機能の一部権限を緊急制限し、予約済み命令を棚卸しし、不審な命令を停止しました”」

「それは事実です。Phase2キャンセルも含められますが、詳細名は出さない方がいいです」

「“稼働中ラインへの追加影響を防ぐため、復旧速度より安全確認を優先しています”」

大石が画面越しに言った。

「その一文、現場向けにも使ってください」

山崎は頷いた。

「はい」

望月が言った。

「復旧が遅れていることの説明ですね」

「はい」

山崎は答えた。

「遅れている、だけでは不満が出ます。なぜ遅らせているかを説明する必要があります」

三枝は、またメモした。

遅れていることではなく、なぜ遅らせているかを説明する。

今の駿河メディカルロジスティクスは、復旧を急がないという判断を何度もしている。

東側ラインを戻さない。端末管理権限を緊急制限する。委託先アカウントを止める。ログを保全するまで代表端末を触らない。

それらは、現場から見れば遅延だ。取引先から見れば不便だ。経営から見れば売上損失だ。

だが、理由がある。

理由を説明できなければ、正しい判断も信頼されない。

午前六時三十四分。

委託先・再委託先を含む調査状況の文書は、最も難航した。

感情が入りやすい。責任論になりやすい。一文で関係が壊れる可能性がある。

山崎は、最初に方針を示した。

「ここでは、責任を断定しません。調査範囲、確認済み事実、未確認事項、各社への要請を示します」

秋山が文面を作る。

当社は、委託先保守用アカウントが本件の一部操作に利用された可能性があることを踏まえ、委託先および再委託先に対し、作業記録、画面共有記録、チャット、ログ、手順書、関係者アカウントの保全および提出を要請しています。

馬場がオンラインで確認した。

「“利用された可能性”であれば、現時点では受け入れ可能です。“委託先が原因”とは書かないでください」

山崎は頷いた。

「書きません」

佐伯も言った。

「ネストリンク環境の侵害可能性については、当社で調査を開始したと書いてください。ただし、原因断定は避けてください」

山崎は答えた。

「“再委託先の社内チャット情報の一部が攻撃者により把握されている可能性があるため、同社においてもログ保全および調査を開始”とします」

佐伯は、少し苦しそうに頷いた。

「はい」

高瀬が言った。

「当社としても、再委託先からの警告共有経路について確認中と書いてください」

山崎は文面を整えた。

また、過去および本件発生前後に、関係者間で一部リスクに関する情報が認識されていた可能性があるため、その情報がどの段階で共有され、どの段階で未了となったのかを、関係各社と確認しています。

黒崎が小さく言った。

「ずいぶん柔らかいですね」

山崎は答えた。

「柔らかいですが、逃げてはいません」

三枝は、その一文を見た。

一部リスク。認識されていた可能性。どの段階で共有され、どの段階で未了となったのか。

それは、日向の引継ぎメモ、ネストリンクのチャット、小田切の警告、前島アカウントの保留、すべてを含んでいる。

名指しで責めてはいない。だが、調査していることは明確だ。

山崎の文章は、刃物ではなく、定規だった。

線を引くための道具。

午前七時十五分。

再発防止方針の骨子は、望月が自分の言葉で書きたいと言った。

「先生、構成はいただきます。でも、最初の一段落は私が書きます」

山崎は頷いた。

「もちろんです」

望月は、しばらく画面を見つめていた。

その後、ゆっくりと入力した。

当社は、本件を単なる外部からの攻撃や一時的なシステム障害として扱うのではなく、クラウド権限、委託先管理、旧システム、ログ保全、バックアップ復旧、AI監視、個人情報管理、経営報告の各領域に未了事項が重なった結果として受け止めています。

三枝は、その文を見て、胸が詰まった。

望月は続けた。

当社は、攻撃を完全に防げなかった事実に向き合い、攻撃後に事実を保全し、判断を記録し、関係者へ説明し、再発防止策を実行する会社へ変わります。

山崎は、黙ってその文章を読んだ。

そして言った。

「このままでよいと思います」

黒崎が頷いた。

「はい」

秋山も頷いた。

大石が画面越しに言った。

「現場にも、それで説明してください」

望月は、小さく頷いた。

「必ず」

山崎は、その下に再発防止の柱を整理した。

一　特権権限・端末管理権限の再設計二　退職者・委託先・再委託先アカウントの棚卸しと期限管理三　例外承認台帳の整備四　AI監視アラートの強制確認条件設定五　バックアップ復元テストとRTO/RPOの経営報告六　重要ログの保存期間・所有者・提出手順の再設計七　委託契約・SOW・再委託先管理・ログ提出義務の見直し八　個人情報漏えい等対応手順、本人・取引先通知、二次被害防止の整備九　インシデント時系列表、判断記録、責任分界表の標準化十　山崎行政書士事務所、フォレンジック会社、弁護士、警察、行政機関等との連携体制整備

望月は、それを見て言った。

「十項目もありますね」

山崎は答えた。

「多いです。ただし、今回見えた論点を減らしてはいけません。実行計画では優先順位を付けます」

三枝は、山崎の言葉を聞いて思った。

再発防止策とは、「今後気をつけます」ではない。

何を、誰が、いつまでに、どう確認するか。

そこまで落とさなければ、また未了になる。

午前八時二分。

主要取引先との個別説明会が始まった。

最初の相手は、大学病院グループの調達責任者だった。昨日、強い抗議を入れてきた相手だ。

画面には、相手側から三人が参加していた。

調達責任者。情報システム部門の担当者。法務担当者。

望月は、冒頭で深く頭を下げた。

「このたびは、当社のシステム障害および不正アクセス可能性により、納品遅延と情報管理上のご不安をおかけし、誠に申し訳ございません」

調達責任者は、厳しい表情で言った。

「まず確認します。患者情報は漏れたのですか」

望月は、山崎が整えた資料を見ながら、自分の言葉で答えた。

「現時点で確認している対象ファイルには、患者様の氏名、診療情報、検査結果は含まれていません。ただし、当院を含む医療機関のご担当者様に関する連絡先等を含むリストについて、外部から取得された可能性が高い操作ログと、攻撃者による一部情報提示を確認しています」

相手側の法務担当が言った。

「可能性が高い、ということは、漏えいしたと認識しているのですか」

望月は逃げなかった。

「当社としては、外部取得された可能性が高いものとして扱い、報告・通知準備および二次被害防止の注意喚起を進めています。全件取得の有無、重複除外後の人数、他ファイルの影響は調査中です」

情報システム担当者が聞いた。

「攻撃経路は委託先ですか」

望月は、少しだけ間を置いた。

「現時点では、委託先保守用アカウントが一部操作に利用されたことは確認しています。ただし、侵入経路や関係各社の責任については断定していません。委託先および再委託先の作業記録、ログ、チャット、手順書を保全し、確認しています」

調達責任者が言った。

「出荷はいつ正常化しますか」

望月は、これにも即答しなかった。

「全面復旧時刻は、現時点ではお約束できません。理由は、端末管理機能を通じた不審な構成変更が確認され、一部端末を安全確認なしに戻すと再停止や追加被害のリスクがあるためです。現在は、病院便と定温便を優先し、限定復旧環境と手作業で出荷を継続しています。次回更新では、優先便ごとの見込みをお伝えします」

相手側の表情は、厳しいままだった。

だが、空気は少し変わった。

調達責任者が言った。

「少なくとも、何が分かっていて何が分かっていないかは理解しました」

望月は頷いた。

「次回報告は、本日十七時までに行います。不審な連絡への注意喚起文も、別途お送りします」

説明会が終わると、営業部長が深く息を吐いた。

「社長、よかったです」

望月は首を振った。

「よくはありません。でも、説明はできました」

山崎が静かに言った。

「その差は大きいです」

三枝は、画面の議事メモを見ていた。

取引先は納得したわけではない。だが、沈黙は避けられた。

それだけでも、会社は一歩踏みとどまった。

午前九時十七分。

次に、社内全体への説明が行われた。

倉庫、営業、総務、経理、品質管理、経営企画。出社している社員は会議室や休憩室で、在宅勤務の社員はオンラインで参加した。

望月が画面に映った。

顔は疲れていた。だが、言葉はまっすぐだった。

「皆さんに、現在の状況を説明します」

社内が静まり返る。

望月は続けた。

「当社では、五月六日未明から、一部倉庫端末の障害、出荷遅延、顧客担当者情報を含む可能性のあるファイルの外部取得可能性、不審な端末管理命令、委託先保守用アカウントの不正利用可能性を確認しています」

画面越しにも、社員たちが緊張するのが分かった。

望月は、山崎が作った社内向け説明をもとに話した。

「患者情報や診療情報は、現時点で対象ファイルには確認されていません。ただし、医療機関等のご担当者様の連絡先等が含まれるリストについて、外部取得された可能性が高いものとして対応しています。取引先への注意喚起、行政報告の準備、警察・外部専門家への相談を進めています」

社員の一人が、チャットで質問した。

なぜAI監視があったのに気づけなかったのですか。

望月は、少しだけ目を伏せた。

そして答えた。

「AI監視では、三週間前に関連する可能性のある低優先度アラートが出ていました。しかし、旧システムの過去挙動と類似していたため、詳細確認の対象になっていませんでした。また、当社側でも、退職者アカウントや旧システム例外を強制確認する運用がありませんでした。これは情報システム課だけの問題ではなく、全社的な管理課題です」

三枝は、その言葉を聞いて拳を握った。

望月は続けた。

「今後、AI優先度だけに依存せず、退職者、委託先、特権、個人情報、バックアップ、例外設定に関わるアラートは、人手確認の対象として再設計します」

別の社員が質問した。

現場で何をしてはいけませんか。

大石が答えた。

「指定されていない端末の再起動、初期化、設定変更はしないでください。異常があれば、時刻、端末番号、起きたことを記録して報告してください。分からないことは、自分で判断せず現場責任者へ上げてください」

山崎は、会議室の端で静かにメモを取っていた。

三枝は、それを見て思った。

山崎は表には出ない。だが、社長の言葉にも、大石の言葉にも、山崎が整えた線が入っている。

社員説明が終わると、チャットには多くの質問が残った。

不安。怒り。謝罪。現場負荷。取引先からの問い合わせ。休憩と交代制。給与や残業。自分たちの責任。

望月は、最後に言った。

「今回の件で、皆さんに大きな負担をかけています。ですが、個人の勘や根性で乗り切るのではなく、会社として判断し、記録し、説明します。分からないことを一人で抱えないでください」

その言葉に、三枝は救われた気がした。

分からないことを、一人で抱えない。

この数日、彼が最も必要としていた言葉だった。

午前十時四分。

Blue Heronから、予告された公開の前触れのようなメールが届いた。

件名は、Your speech is cute。

本文は短かった。

You are preparing a statement.We prepared one too.

あなたたちは声明を準備している。我々も準備した。

その下に、リークサイトの投稿画面らしき画像が貼られていた。

タイトル。

Japanese medical logistics company hides breach

日本の医療物流会社が侵害を隠している。

三枝は、胃の奥が冷えた。

だが、山崎はすぐに言った。

「相手のタイトルに反応しないでください」

望月が聞いた。

「隠している、と書かれます」

「だからこそ、こちらの第二報を予定通り出します。相手の言葉を否定するだけの声明にしてはいけません。こちらが確認した事実、実施した対応、未確認事項、次回報告予定を出す」

久我が言った。

「リークサイトの監視は続けます。実データが出るか、サンプルだけか、ファイル名だけかを確認します」

秋山が、文案を見直した。

「“攻撃者の主張については確認中”と入れますか」

山崎は首を横に振った。

「取引先向け第二報には、攻撃者の主張を逐一引用しない方がいいです。必要なら、“攻撃者からの脅迫的連絡を確認しており、関係機関と相談しながら対応している”とします」

望月が頷いた。

「攻撃者の言葉で、こちらの説明を作らない」

「はい」

山崎は答えた。

「攻撃者は、御社に反応させたいのです。こちらは、御社の時系列と証跡に基づいて説明します」

三枝は、その言葉に頷いた。

攻撃者は、説明の主導権を奪おうとしている。

だが、主導権とは、早く大声で言うことではない。正確に、継続して、更新できる形で言うことだ。

午前十時四十二分。

警察相談用資料と行政報告用の速報資料が最終確認に入った。

山崎は、秋山と一緒に項目を確認した。

発生日時。発覚日時。検知経緯。対象システム。影響業務。対象情報。件数。外部取得可能性の根拠。実施済み対応。本人・取引先への通知方針。再発防止策。未確認事項。

秋山が言った。

「まだ未確認事項が多いです」

山崎は頷いた。

「速報では、それで構いません。未確認事項を隠すより、確認中として明示する方がよいです」

「行政から、もっと詳しく求められますよね」

「求められます。そのために、時系列表と証跡一覧を整えています」

望月が言った。

「先生、行政書士事務所として、このあたりの資料作成支援が強みなのですね」

山崎は、少しだけ頷いた。

「はい。山崎行政書士事務所では、クラウド法務、Azure技術支援、個人情報漏えい等対応の資料整理を、技術ログと契約・報告文書の両方から支援します。技術的原因は久我さんのようなフォレンジック専門家の調査を前提にし、紛争性のある法的判断は弁護士と連携します。その間で、会社が事実を説明できる資料に整えるのが役割です」

三枝は、その説明を聞いて、自然だと思った。

PRではある。だが、今の現場では、宣伝には聞こえなかった。

山崎行政書士事務所がいなければ、この資料は作れなかった。少なくとも、この速度と精度では無理だった。

秋山が言った。

「正直、法務総務だけでは、ログの意味が分かりませんでした」

三枝が続けた。

「情シスだけでは、報告文書の意味が分かりませんでした」

久我が言った。

「フォレンジックだけでは、経営判断資料にはなりません」

望月が、三人を見た。

「それをつないでいるのが、山崎先生ですね」

山崎は、表情を変えずに言った。

「つながっていない場所が、攻撃されますから」

その言葉に、会議室が静かになった。

つながっていない場所が、攻撃される。

それは、この事件のすべてだった。

午前十一時二十分。

第二報パッケージの最終版が完成した。

ファイルは五つ。

取引先向け第二報.pdf不審連絡への注意喚起.pdf個人情報影響に関する現時点説明.pdfシステム復旧方針と出荷影響.pdf再発防止方針骨子.pdf

さらに、内部用として三つ。

行政報告用_速報資料.docx警察相談用_証跡一覧.xlsx取締役会向け_経営判断整理.pdf

三枝は、それぞれのファイル名を見た。

この数日で、彼はファイル名の重さを知った。

曖昧なファイル名は、後で迷子になる。「最新版」や「最終」や「確認中」は、事故の現場では危険な言葉だ。山崎の指示で、すべての文書に作成日時、版数、対象読者、作成者、承認者、次回更新予定が入っている。

山崎は言った。

「配信前に、最後の確認をします」

望月が頷いた。

「お願いします」

山崎は、ひとつずつ読み上げた。

「断定していることは、証跡がありますか」

三枝と久我が頷く。

「未確認事項は、未確認と書いていますか」

秋山が頷く。

「委託先責任を断定していませんか」

馬場と佐伯が確認する。

「個人情報影響について、患者情報と担当者情報を分けていますか」

秋山が頷く。

「復旧見込みについて、約束できない時刻を約束していませんか」

大石と黒崎が頷く。

「次回報告予定は入っていますか」

営業部長が頷く。

「問い合わせ窓口は一本化されていますか」

秋山が頷く。

「攻撃者の主張に引きずられていませんか」

望月が、はっきり言った。

「いません」

山崎は頷いた。

「では、発信できます」

時計は、午前十一時二十七分。

Blue Heronが示した正午まで、残り三十三分だった。

午前十一時三十分。

望月は、第二報の送信ボタンを押した。

最初に、主要取引先。次に、対象取引先。続いて、社内。行政報告用の速報資料は、秋山が担当窓口へ提出準備を進める。警察相談用資料は、久我と山崎が最終確認する。

送信が始まると、会議室に奇妙な静けさが広がった。

攻撃者に追い詰められて出した文書ではない。

自分たちの判断で出した文書だ。

三枝は、その違いをはっきり感じた。

攻撃者は、正午までに説明しろと言った。だが、こちらは攻撃者の命令に従ったのではない。

説明すべき時が来たから、説明した。

望月は、送信後に画面から目を離さなかった。

「これで終わりではありませんね」

山崎は答えた。

「はい。説明は、これから更新されます」

「でも、沈黙はしていません」

「はい」

望月は、深く息を吐いた。

「それだけでも、少し違います」

三枝は、時系列表に入力した。

11:30　取引先向け第二報、不審連絡への注意喚起、個人情報影響に関する現時点説明、システム復旧方針、再発防止方針骨子を発信。攻撃者要求に従属するものではなく、当社判断として確認済み事実・未確認事項・対応状況・次回報告予定を整理して発信。判断者：望月社長。

入力後、三枝は、もう一度ホワイトボードを見た。

説明できる会社

その文字が、少しだけ現実に近づいた気がした。

午前十一時五十二分。

Blue Heronのリークサイトに、新しい投稿が出た。

久我が確認した。

「出ました」

会議室の空気が張り詰める。

画面には、攻撃者の投稿が表示されている。

タイトルは、さきほどの予告と同じだった。

Japanese medical logistics company hides breach

だが、その下にある本文は、攻撃者が期待したほどの効果を持っていなかった。

なぜなら、駿河メディカルロジスティクスは、すでに第二報を出していたからだ。

投稿には、顧客担当者一覧のサンプル、端末管理画面の一部、小田切版手順書の一部、AI Lowアラートのスクリーンショットが掲載されていた。

秋山が息を呑んだ。

営業部長が顔を青くした。

だが、久我は冷静に言った。

「実データのサンプルは、こちらがすでに影響可能性として説明した範囲と一致しています。新しいカテゴリの情報は、現時点では見当たりません」

山崎が言った。

「取引先向けには、追加確認中とします。すでに注意喚起した内容と大きく矛盾しないか確認してください」

三枝は、リーク内容と第二報の文面を照合した。

担当者名。連絡先。備考。端末管理画面。手順書。AI Lowアラート。

すべて、第二報または内部説明で触れている範囲に収まっていた。

隠している、と攻撃者は書いた。

だが、会社はすでに語っていた。

望月は、画面を見つめながら言った。

「もちろん、被害は大きいです」

山崎は頷いた。

「はい。漏えいが軽くなるわけではありません」

「でも、相手に初めて知らされる形にはならなかった」

「はい。それは重要です」

久我が言った。

「攻撃者の投稿が、完全に主導権を握る状態は避けられました」

三枝は、時系列表に入力した。

11:52　Blue Heronリークサイトに投稿確認。顧客担当者情報サンプル、端末管理画面、小田切版手順書、AI Lowアラート等を掲載。現時点で、当社第二報で説明済みまたは注意喚起済みの範囲と大きく矛盾する新カテゴリは未確認。追加照合中。

入力しながら、三枝は手が震えていないことに気づいた。

被害は現実だ。だが、会社は完全には奪われていない。

説明の主導権を、少しだけ守った。

午後零時二十分。

取引先からの返信が入り始めた。

厳しいものが多かった。

「詳細な件数を早急に示してほしい」「担当者への通知方法を協議したい」「不審メール対策の追加情報が必要」「出荷復旧見込みを時間単位で示してほしい」「委託先を含む再発防止策を具体化してほしい」

だが、返信の多くは、質問だった。

怒号ではなかった。一方的な契約解除通知でもなかった。もちろん、安心したという声でもない。

質問。

それは、対話が続いているということだった。

営業部長が、返信一覧を見ながら言った。

「厳しいですが、会話になっています」

山崎は頷いた。

「第二報が、相手の質問を整理したのだと思います」

秋山が言った。

「次回報告の論点が見えてきました」

望月は、画面を見ながら言った。

「では、次回報告の準備を始めましょう」

黒崎が、少しだけ笑った。

「休む前にですか」

望月も、疲れた顔で少し笑った。

「交代で休みましょう。全員で倒れるわけにはいきません」

山崎が言った。

「休憩と引き継ぎも記録してください」

会議室に、今度は小さく笑いが広がった。

三枝も笑った。

記録してください。

この言葉に、最初は圧迫感を覚えていた。今は、少し安心する。

記録されるということは、一人で抱えなくていいということだから。

午後一時三分。

望月は、三枝を呼んだ。

「三枝さん」

「はい」

「今回の説明資料の技術確認、本当に助かりました」

三枝は、すぐに首を横に振った。

「僕は、たくさん見落としていました」

「それでも、今は必要なことをしています」

望月は、少しだけ表情を緩めた。

「山崎先生が言っていました。後悔と事実を分ける、と」

三枝は頷いた。

「はい」

「私も、同じです。もっと早く聞くべきことがありました。バックアップは戻せるのか。AIは何を捨てているのか。委託先の例外はいつ閉じるのか。経営者として、聞くべきことを聞いていませんでした」

「社長……」

望月は続けた。

「だから、これからは聞きます。情シスに任せるのではなく、経営として確認します。三枝さんには、技術を経営の言葉に変える役割を担ってほしい」

三枝は、驚いて望月を見た。

「僕が、ですか」

「はい。もちろん一人でではありません。山崎先生や久我さんにも支援してもらいます。でも、社内でそれを続ける人が必要です」

三枝は、すぐには答えられなかった。

自分には、まだ失敗の重さがある。半年前のファイル。三か月前のアラートチューニング。Low一覧。前島アカウント。

だが、その失敗を知っているからこそ、できることもあるのかもしれない。

三枝は、ゆっくり答えた。

「やります」

望月は頷いた。

「お願いします」

その一言は、肩に重く乗った。

だが、逃げたい重さではなかった。

午後二時十六分。

山崎は、取締役会向けの最終資料をまとめていた。

タイトルは、本件インシデントに関する経営判断整理および再発防止方針。

一枚目には、発生経緯。二枚目には、業務影響。三枚目には、情報影響。四枚目には、端末管理基盤。五枚目には、委託先・再委託先管理。六枚目には、AI監視。七枚目には、バックアップ。八枚目には、未了ログ。九枚目には、再発防止ロードマップ。

三枝は、八枚目をじっと見た。

未了ログ

そこには、こう書かれていた。

未了ログとは、必要な証跡として設計されないまま残存し、事故時に存在・所有者・保存期間・閲覧権限・提出手順が不明確であったログを指す。本件では、DeviceActionRawが端末管理命令の詳細解明に重要な役割を果たした一方、正式運用外、保持7日、所有者が元委託先担当者、アクセス権不明という状態であり、証跡保全上の重大な課題が明らかになった。

山崎は、それを読み上げた後、こう続けた。

「ただし、未了ログは比喩として、未完了の判断全体にも使えます」

スライドの下部には、別の文章があった。

退職者アカウント停止未了、例外権限削除未了、復元テスト未了、AIアラート再評価未了、委託先リスク共有未了、旧手順書廃止未了。これらは、いずれも攻撃者に利用され得る“閉じられていない判断”であった。

望月は、そのスライドを見て言った。

「このページを、最後ではなく前半に持ってきましょう」

山崎が少し驚いた顔をした。

「前半ですか」

「はい。これは再発防止の一項目ではありません。本件の中心です」

三枝は、望月を見た。

社長は、もう分かっていた。

この事件は、攻撃者にやられた事件であると同時に、未了を閉じなかった会社の事件でもある。

山崎は、静かに頷いた。

「分かりました。前半に移します」

午後三時四十分。

取締役会は、重かった。

責任を問う声があった。費用を懸念する声があった。公表範囲を狭めるべきだという声もあった。委託先へ強く請求すべきだという意見もあった。情シスの体制を見直せという声もあった。

望月は、それらを一つずつ受けた。

逃げなかった。断定しなかった。曖昧にも逃げなかった。

「責任の整理は、弁護士と連携して進めます。ただし、まず事実の保全と再発防止を優先します」

「費用はかかります。しかし、復元テストを外したこと、ログ保存を七日にしたこと、例外を棚卸ししなかったことが、今回どれだけ高くついたかを見てください」

「公表を狭めれば、短期的には楽かもしれません。しかし、攻撃者が既に情報を出している以上、関係者が備えるための説明を遅らせる方が危険です」

「委託先には、ログ保全と事実確認を期限付きで求めます。感情的な責任追及ではなく、契約と証跡に基づいて整理します」

「情シスだけの問題ではありません。経営、委託契約、旧システム、個人情報、AI監視、バックアップ、現場運用の問題です」

山崎は、会議の端で黙っていた。

求められた時だけ、資料の該当箇所を示した。行政書士としての範囲を超える紛争判断には踏み込まず、「弁護士との連携が必要」と明確に線を引いた。技術的原因については、久我の所見を前提にした。

三枝は、その姿を見ていた。

山崎は、主役ではない。だが、社長が主役として話せるように、舞台を整えている。

それが、山崎行政書士事務所の本当のPRだった。

広告ではなく、機能。宣伝ではなく、必要性。

取締役会の最後に、望月はこう言った。

「当社は、攻撃を受けました。情報も漏れた可能性があります。出荷も止まりました。委託先との責任分界にも問題がありました。AI監視の運用にも、バックアップの復元確認にも、ログ保全にも未了がありました」

誰も口を挟まなかった。

「しかし、当社は沈黙しません。分かっていることを説明し、分かっていないことを確認し、未了を閉じます。山崎行政書士事務所、北斗DFIR、弁護士、警察、行政機関、委託先と連携し、説明できる会社へ変わります」

会議室は静まり返っていた。

それは、反対の沈黙ではなかった。

受け止めるための沈黙だった。

午後五時二十分。

取締役会の承認を受け、再発防止ロードマップの第一版が正式化された。

三枝は、山崎、黒崎、久我と一緒に、最初の実行項目を整理した。

二十四時間以内特権アカウント緊急棚卸し。退職者アカウント停止。端末管理予約命令全件確認。個人情報影響対象の精査。取引先第二報への返信対応。行政速報提出。警察相談。

七日以内委託先・再委託先ログ提出。旧手順・スクリプト保管領域の保全と整理。AI Lowアラート強制確認ルール暫定適用。DeviceActionRaw等重要ログの保存延長。バックアップ復元検証計画の策定。例外承認台帳の暫定運用。

三十日以内責任分界表の契約反映案。SOW見直し。再委託先管理条項。ログ保全方針。端末管理権限再設計。取締役会向けセキュリティKPI見直し。机上演習。

九十日以内全社クラウド統制再設計。復元テスト実施。個人情報漏えい対応訓練。委託先合同インシデント演習。例外ゼロではなく、期限付き例外管理へ移行。説明可能なサイバーセキュリティ統制の標準化。

黒崎が、表を見ながら言った。

「これ、本当にやるんですね」

望月が答えた。

「やります」

大石が画面越しに言った。

「現場も入れてください。机上演習だけで現場が置いていかれると、また最後に押し付けられます」

山崎が頷いた。

「現場も入れます。出荷、ラベル、手作業切替、顧客連絡まで含めた演習にしましょう」

秋山が言った。

「法務総務も、本人通知と取引先説明の訓練を入れます」

営業部長も頷いた。

「営業も、問い合わせ対応を標準化します」

三枝は、そのやり取りを見ていた。

会社が変わるというのは、こういうことなのかもしれない。

誰か一人が反省することではない。部署ごとに、次の行動が変わることだ。

午後六時四十二分。

三枝は、少しだけ席を外して倉庫へ向かった。

夕方の倉庫には、まだ疲労の匂いが残っていた。だが、昨日よりも秩序があった。

限定復旧端末。保全対象端末。手作業記録台。問い合わせメモ。不審連絡注意の掲示。端末を触る前の確認表。

大石が、腕を組んでラベルプリンタの横に立っていた。

「三枝さん」

「お疲れさまです」

「第二報、現場にも回りました。みんな読みましたよ」

三枝は、少し緊張した。

「反応はどうですか」

大石は、少しだけ笑った。

「長い、って言ってました」

「すみません」

「でも、何が起きてるかは前より分かったそうです。特に、“なぜ東側をまだ戻さないか”が分かったのは大きい」

三枝は、ほっとした。

大石は続けた。

「現場は、理由が分からないまま待たされるのが一番きついんです。理由があれば、文句を言いながらでも動ける」

三枝は頷いた。

「はい」

大石は、ラベルプリンタを見た。

「サイバーセキュリティって、今まで本社の話だと思ってました」

「僕も、現場にここまで影響するとは、分かっていませんでした」

「これからは、現場も入れてください」

「必ず」

三枝が答えると、大石は頷いた。

「じゃあ、次は止まらない倉庫を作りましょう」

その言葉は、三枝の胸に残った。

止まらない倉庫。いや、止まっても説明でき、戻せる倉庫。

それが本当の目標なのかもしれない。

午後八時十分。

第三会議室に戻ると、山崎が帰り支度ではなく、次の資料を作っていた。

「先生、まだ作業されるんですか」

山崎は顔を上げた。

「次回報告の下書きです」

三枝は苦笑した。

「本当に、説明は終わらないですね」

「はい。ですが、今日は大きな山を越えました」

三枝は、椅子に座った。

「正直、第二報を出すのが怖かったです」

「怖くない説明は、たいてい遅いか、浅いです」

山崎は、静かに言った。

「怖いけれど出すべき説明があります。もちろん、根拠が必要です。だからこそ、ログ、判断記録、責任分界表が必要になります」

三枝は頷いた。

「山崎先生」

「はい」

「山崎行政書士事務所は、なぜサイバーセキュリティをやっているんですか」

山崎は、少しだけ考えた。

「サイバーセキュリティが、技術だけでは終わらなくなったからです」

三枝は黙って聞いた。

「クラウドでは、権限、ログ、契約、委託、個人情報、経営判断が一つにつながっています。ところが、多くの会社では、それぞれが別々に管理されています。技術者はログを見る。法務は契約を見る。経営者は報告を見る。現場は業務を見る。委託先は作業範囲を見る」

山崎は、会議室の散らかった机を見た。

「攻撃者は、その隙間を見ます。だから、私たちは隙間をつなぎます」

三枝は、ゆっくり頷いた。

「クラウド法務とAzure技術支援」

「はい。構成、権限、ログ、契約を、説明できる統制へ」

山崎は、その言葉をあえて淡々と言った。

セミナーのコピーと同じだった。だが、今はコピーではなかった。

三枝は言った。

「今回、それが本当に必要でした」

山崎は、少しだけ表情を緩めた。

「そう言っていただけるなら、支援した意味があります」

午後九時二十七分。

望月が、会議室に戻ってきた。

手には、紙のメモがあった。

「明日の記者向け説明の準備をします」

秋山が顔を上げた。

「記者向けですか」

「はい。リークサイトに出た以上、問い合わせが来ます。こちらから全てを公開するわけではありませんが、最低限の説明文を準備しておきます」

山崎は頷いた。

「必要です」

望月は、メモを開いた。

そこには、短い文章が書かれていた。

当社は、現在確認している事実を順次公表し、関係者への通知、行政機関への報告、警察への相談、外部専門家による調査を進めています。攻撃者による一方的な主張や脅迫に対しては、事実確認を優先し、関係者の二次被害防止を最優先に対応します。

山崎は、それを読んで言った。

「良いと思います。少しだけ、未確認事項への言及を追加しましょう」

「お願いします」

山崎は文章を整えた。

現時点で確認できていない事項については、確認中であることを明示し、判明次第更新します。

望月は頷いた。

「それでいきます」

三枝は、望月のメモを見ていた。

数日前の望月なら、ここまで自分の言葉で説明できなかったかもしれない。

いや、会社そのものが説明できなかった。

今は違う。

まだ不完全だ。まだ未確認事項は多い。まだ被害も続いている。まだ攻撃者も捕まっていない。

それでも、会社は説明し始めている。

午後十時四十四分。

Blue Heronから、その日最後のメールが届いた。

件名は、Boring。

本文には、こうあった。

You are less fun when you talk first.

先に話す相手は、つまらない。

久我が、それを見て小さく笑った。

「効いてますね」

山崎は、淡々と言った。

「保全してください」

三枝も、少しだけ笑った。

「はい」

保全手順を進める。もう、身体が覚えていた。

山崎が言った。

「攻撃者は、御社を黙らせる方が都合がよかったのでしょう」

望月が言った。

「では、黙りません」

その言葉に、会議室の空気が少しだけ軽くなった。

三枝は時系列表に入力した。

22:44　不明差出人より件名“Boring”のメール受信。“You are less fun when you talk first.”と記載。当社第二報および先行説明による攻撃者の揺さぶり効果低下を示唆する可能性。証跡保全。

入力後、三枝は少し迷い、メモ欄に一行を入れた。

説明は、防御である。

山崎がそれを見て、今度は修正しなかった。

「そのままで良いと思います」

三枝は、少しだけ驚いた。

「正式資料に入れますか」

山崎は首を横に振った。

「これは、三枝さんのメモとして残してください」

三枝は頷いた。

午後十一時三十分。

交代体制がようやく整い、三枝は一時的に休むよう命じられた。

会議室を出る前に、彼はホワイトボードを見た。

この数日で、何度も消して、何度も書いた白い板。

そこには、まだいくつもの言葉が残っている。

責任分界線漏えいの閾値AIが捨てた警告委託先の沈黙消された端末管理命令未了ログ説明できる会社

三枝は、最後の言葉を見つめた。

説明できる会社。

まだ、そこに到達したわけではない。ただ、そちらへ歩き始めただけだ。

それでも、数日前とは違う。

会社は安全だった。そう思い込んでいた会社は、もうない。

代わりに、攻撃を受け、自分の未了を見つめ、それでも説明しようとする会社がある。

三枝は、ノートPCを閉じた。

その時、望月が声をかけた。

「三枝さん」

「はい」

「明日から、未了を閉じていきましょう」

三枝は頷いた。

「はい」

「一つずつでいいです」

「はい」

山崎が、少し離れた席から言った。

「一つずつ。ただし、期限付きで」

会議室に、小さな笑いが起きた。

三枝も笑った。

疲労の中で、笑えた。

それは、会社がまだ生きている証拠だった。

午前零時。

新しい日が始まった。

Blue Heronは、まだどこかにいる。流出した情報は戻らない。止まった端末も、すぐには完全に戻らない。委託先との責任整理も、これから険しくなる。行政、警察、取引先、本人通知、再発防止、記者対応。終わっていないことは、山ほどある。

だが、三枝はもう「終わっていない」という言葉を、ただの不安としては見なかった。

終わっていないなら、未了として書く。責任者を置く。期限を置く。次回確認日を置く。証跡を残す。説明できる形にする。

未了は、放置すれば攻撃者の通路になる。管理すれば、会社が変わるための入口になる。

三枝は、廊下を歩きながら、スマートフォンに短いメモを残した。

未了を閉じる。ログを証跡にする。説明を防御にする。

送信先は、自分だけだった。

だが、その言葉は、これからの仕事の始まりだった。

背後の第三会議室では、山崎がまだキーボードを打っている音がした。

会社は、まだ眠らない。

だが今夜の会社は、ただ怯えて起きているのではなかった。

説明するために、起きていた。