【ラストワンマイル労働組合】「監査に耐えれば情報漏洩することもある」渡辺誠CEOの営業寄りセキュリティ論

2026年7月31日

顧客情報を扱う企業にとって、情報セキュリティは、監査法人へ見せるための飾りではありません。顧客、取引先、従業員の情報を、現実の漏洩や不正利用から守るための仕組みです。

ところが、現ラストワンマイル在籍者から当組合に情報提供された株式会社ラストワンマイルの情報システム研修で、代表取締役会長兼CEOの渡辺誠氏は、セキュリティの判断基準を「監査に耐えられるか」に置き、監査を通過できるのであれば情報漏洩が起きることもあるとの趣旨を明言しています。

「監査に耐えていたら情報漏洩することもある」

「会社が求めるのは、監査に耐えられるラインのセキュリティです。逆に言うと、監査に耐えていたら情報漏洩することもあると思う」

監査で指摘されない状態と、顧客情報が安全な状態は同じではありません。監査は、一定時点における統制や証拠を確認するものであり、全ての不正、全ての操作、全ての漏洩を完全に防止する保証ではありません。

その違いを理解した上で、会社は監査通過を最低条件としながら、現実のリスクに応じて追加の安全対策を行う必要があります。ところが渡辺誠氏の説明では、監査を通過する最低線が、そのまま会社として目指す上限になっています。

「常にギリギリの、監査に耐えられる、営業寄りに考えた場合のセキュリティ判断を、システム部はしなければならない」

営業活動とセキュリティの両立を図ること自体は当然です。しかし、「ギリギリ」を恒常的な目標にすれば、新しい脅威、設定ミス、人為的な不正、委託先の事故といった不確実性を吸収する余地がなくなります。

橋が耐えられる最大重量ギリギリの車両を、毎日、何台も通し続けるような運用です。晴天の日には問題が起きなくても、強風や経年劣化が加わった瞬間に崩れます。

渡辺誠氏は、USBポートを利用可能なままにすると、オペレーターがデータを持ち出す可能性があることを具体的に認識していました。

「USBが生きていることによって、オペレーターがUSBを差し込んでデータを抜くというリスクが発生します」

そのうえで、情報システム部が「危険だからUSBを無効化すべき」と判断してはならず、リスクの大きさを経営側へ伝えるだけにすべきだと教えています。

「システム側は、リスクがあるから駄目だと言わないこと。そのリスクがどの程度かを正確に伝えることが仕事です。判断は経営側がする」

最終的なリスク受容を経営者が判断すること自体は不合理ではありません。しかし、専門部署が「法令、契約又は技術上、許容できない」と判断する権限まで奪えば、情報システム部は安全管理部門ではなく、営業活動へ危険度を記載するだけの案内係となります。

研修では、顧客のシステムとラストワンマイル側のシステムを接続する営業についても、「穴を開ける」という表現が繰り返されています。

「必ずセキュリティを弱くしないとシステム連携はできない。お互いに穴を開けなければならない」

「他社がやっていないところに穴を開ける。中小企業なら全然穴を開ける」

「うちは上場会社のセキュリティを突破した形で連携できます、という営業トークに使える」

適切な認証、暗号化、アクセス制御、接続時間の制限、ログ監視を備えたシステム連携は、通常の事業活動です。しかし、それを従業員へ「上場会社のセキュリティを突破する」「穴を開ける」と表現する代表者の感覚は、顧客企業にとって安心できるものでしょうか。

監査に合格することは必要です。しかし、監査で見つからなければよいという姿勢では、セキュリティが顧客保護ではなく、上場維持のための形式へ変わります。

監査人へ提出する資料が整っていても、実際の端末からUSBでデータを抜ける。規程上はアクセス制限が存在しても、営業のために例外接続が増える。それでも監査項目を形式的に満たせばよいという運用であれば、顧客情報は書類上だけ守られていることになります。

情報漏洩が起きれば、会社が謝罪し、補償し、再発防止策を発表することはできます。しかし、漏洩した住所、電話番号、契約情報、音声、本人確認情報を、完全に回収することはできません。

だからこそ、情報セキュリティは「問題が起きたら会社が責任を取る」という通常の経営リスクとは異なります。

株式会社ラストワンマイルは、監査に耐える最低線ではなく、顧客の情報を現実に守れる線を基準にすべきです。営業利益のためにギリギリまで弱めるものがセキュリティであるならば、顧客にとって最も危険な存在は外部の攻撃者ではなく、その判断を下す経営者になってしまいます。

よかったらシェアしてね！