なぜ「安全第一」の製造業がWebセキュリティでは後手に回るのか？化学メーカー出身の制作者が考える

はじめに

本番のデータベースを書き換える直前、私は画面に指を差して、声に出して確認します。「接続先、本番。バックアップ、取得済み。対象は3件。ヨシ」。自宅の作業部屋に私しかいなくてもやります。

大手化学メーカーの研究開発部門で7年間働くうちに、指差呼称がすっかり癖になりました。今では仕事に限らず、出張前の持ち物確認や、交差点で自転車をこぎ出す瞬間まで、指と声が勝手に動きます。製造業にお勤めの方なら、この染み付き方に心当たりがあると思います。

ところが、現場であれほど安全第一を徹底している製造業の会社でも、自社のホームページやWebシステムのことになると、驚くほど無防備なままというケースが珍しくありません。Web制作の仕事を通じて、そういう場面に何度も出会ってきました。

意識が低いからだとは思いません。あれだけの安全文化を回せる組織が、意識だけ低いはずがないのです。原因は意識ではなく構造にあると考えています。この記事では、製造業の安全文化がなぜWebには向かわないのかを整理したうえで、その文化をWebセキュリティに活かす方法を書きます。

製造業の安全文化は、世界に誇れる資産

私がいた会社では、ヒヤリハット報告を集めることより、出しやすくすることに力を入れていました。各事業所や工場には安全衛生に関する委員会があり、事業所をまたいで気づきを共有する交流の場や、全社的な表彰の制度まで用意されていました。事故が起きてから報告させるのではなく、事故になる前の小さな気づきを、褒めて集める仕組みです。

新しい実験を始めるときの手順も徹底していました。リスクを洗い出し、対策と万一のときの手順を整えてからでなければ、着手の許可が出ません。「まずやってみて、問題が出たら直す」という進め方は、危険物を扱う現場では許されないのです。

私自身、危険物取扱者甲種や高圧ガス製造保安責任者（甲種化学）の勉強を通じて、この安全文化が過去の事故の教訓と法規制の積み重ねでできあがってきたことを学びました。日本の製造業の安全管理は、長い時間をかけて磨かれてきた、世界に誇れる資産だと本気で思っています。

問題は、この資産がWebの領域でほとんど使われていないことです。

なぜ「安全第一」の会社が、Webでは無防備になるのか？

意識の低さが原因ではなく、危険が見えない構造が原因だと私は考えています。分解すると3つあります。

人命に関わらないから、本気度が上がらない

現場の安全文化の原動力は、突き詰めれば「人を死なせない、怪我をさせない」です。ホームページが改ざんされても、サーバーが乗っ取られても、その場で誰かが物理的に傷つくわけではありません。人命が関わらない分、現場と同じ本気度にはどうしてもなりにくいのです。

攻撃者の姿が見えないから、危険予知が働かない

現場の危険予知（KY）活動が機能するのは、危険の姿を具体的に想像できるからです。回転体への巻き込まれ、有機溶剤への引火、高所からの工具の落下。映像として思い浮かぶから、対策が立てられます。

一方、Webの攻撃者は姿が見えません。攻撃の大半は自動化されたプログラムによる無差別の走査で、狙われている実感がないまま進みます。想像できない危険に対しては、危険予知の働きようがないのです。

事故が起きてから、初めて損害の正体に気づく

3つ目が一番厄介です。製品の品質事故やブランドを傷つける事故に対して、製造業は起こる前に防ぐことを徹底します。ところがWebでは順序が逆になり、壊れてから対応が始まるパターンが目立ちます。

しかも、本当の損害は復旧の後にやってきます。サイトの改ざんやメールの乗っ取りが起きたとき、痛いのは復旧作業の費用ではありません。取引先や顧客からの信頼の失墜です。「あの会社、サイトがやられたらしい」という話は、復旧が終わった後も残り続けます。取引先からの見え方がビジネスに直結する構造は、SSL未対応のホームページが取引先からどう見えているか、元化学メーカー技術者の視点で考えるで書いたことと同じです。

象徴的なのがWordPressの放置です。本体もプラグインも何年も更新されず、管理の担当も曖昧なまま動き続けているサイトを、これまで何度も見てきました。製造現場の設備なら点検計画を外れた時点で問題になるのに、Webサイトは「表示されているから大丈夫」で通ってしまいます。保守の要否をどう線引きすべきかはWordPressの保守は本当に必要？保守費用を断られた制作者が正直に線引きしますに書きました。

安全文化をWebセキュリティに活かす3つの原則

構造が分かれば、対策も「意識を高めましょう」ではなくなります。現場が既に持っている安全の考え方を、Webにそのまま当てはめればいいのです。私が実践している原則は3つあります。

原則1：ヒューマンエラーを前提に、構造で防ぐ

化学プラントの設計は、人は必ずミスをするという前提でできています。操作を間違えたら装置が止まるインターロック。そもそも間違えられない構造にするフールプルーフ。「気をつけます」という宣言は、対策としてカウントされません。

Webに当てはめると、こうなります。管理画面の権限は必要最小限に絞る。バックアップは「手が空いたときに取る」ではなく、自動で毎日取られる状態にしておく。ログインには2要素認証を入れる。どれも、人の注意力ではなく、しくみで防ぐ対策です。冒頭の指差呼称も、私にとっては気合いの表明ではなく手順の一部です。人の注意力に頼る対策は、現場でもWebでも、いつか必ず破られます。

原則2：実施する前に、計画を立てる

実験の前にリスクアセスメントを済ませておくように、Webでも作る前・変える前に考えるのが原則です。

サイトの公開、機能の追加、プラグインの更新。着手する前に「この変更で何が壊れうるか」「壊れたらどう戻すか」を決めておきます。特に大事なのは戻し方のほうです。私は、元に戻す手段を用意できない変更は原則として行いません。実験計画で万一のときの手順を整えてからでないと着手できなかったのと、まったく同じ考え方です。

原則3：「ヒヤリ」を報告しやすい空気をつくる

これが3つの中で一番効果が大きく、一番お金がかからない方法です。

「変なメールを開いてしまった」「偽物っぽいログイン画面にパスワードを入れかけた」。こうした一歩手前の出来事を、怒られずに言える職場かどうか。報告した人を責めれば、次から報告は来なくなり、事故の芽は水面下に潜ります。私がいた会社が委員会や表彰まで用意してヒヤリハットを集めていたのは、報告の量と速さが安全のレベルをそのまま決めるからです。

「うちのサイトは狙われない」と感じる方へ

それは、現場で言えば「今まで事故が起きていないから、この作業は安全だ」という理屈と同じです。この理屈が安全衛生の場で通らないことは、製造業の方がいちばんよくご存知だと思います。無事故の記録は、対策が十分である証明にはなりません。

実際には、セキュリティ体制が手薄な中小企業こそ、大手企業への入口として狙われています。製造業が特に標的になりやすい理由も含めて、中小製造業こそ狙われる？他人事では済まないサイバー攻撃対策に詳しく書きました。

明日からできる「Web版・安全活動」

最後に、現場の安全活動になぞらえたアクションを3つ提案します。

1. Webの「設備台帳」を作る

ドメイン、サーバー、CMS（コンテンツ管理システム）、導入しているプラグイン、管理者アカウントとその持ち主。この一覧を1枚にまとめてください。現場の設備管理と同じで、何があるか分からないものは点検できません。「サーバーの契約者が誰か分からない」「前任者しかログインできない」が見つかったら、それ自体が立派なヒヤリハット報告です。

2. 作業の前に、ひと言KYをやる

サイトの更新や設定変更の前に、「これで何が壊れうるか」「戻せるか」を一言確認します。声に出すか、チャットに書くかは自由です。形式的に感じるかもしれませんが、形から入って構いません。私の指差呼称も、最初は研修で形からやらされたものが、7年経って体の一部になりました。

3. ヒヤリを1件、共有してみる

「今朝、こんな詐欺メールが来た」を朝礼やチャットで1件共有するところから始めてください。報告しやすい空気は、制度より先に「最初の1件が責められなかった」という実績から生まれます。

まとめ：安全文化は、Webでも資産になる

この記事の要点を整理します。

• 製造業の安全文化は、Webセキュリティの土台としてそのまま使える。足りないのは意識ではなく、現場の考え方をWebに当てはめること
• Webで安全意識が働きにくいのは、人命に関わらず、攻撃者が見えず、損害の正体（信頼失墜）に事後まで気づけないという構造のため
• 原則は「ヒューマンエラーを前提に構造で防ぐ」「実施する前に計画を立てる」「ヒヤリを報告しやすくする」の3つ
• 最初の一歩は、Webの設備台帳・作業前のひと言KY・ヒヤリの共有という「Web版・安全活動」から

「安全第一」の文化を持っている会社は、Webセキュリティでも本来強いはずです。現場で毎日やっていることを、Webにも当てはめるだけなのですから。

私は化学メーカーの安全文化の中で7年働き、いまは静岡県富士市でWeb制作とシステム開発をしています。「うちのサイト、点検した記憶がない」と思い当たった方は、お気軽にお問い合わせください。ヒヤリハットや指差呼称の言葉が通じる制作者として、貴社のWebの安全点検をお手伝いします。