「嫌いだった」セキュリティが仕事の中心になるまで

――西本さんはもともとシステム開発を専門としてキャリアをスタートしたようですね。サイバーセキュリティの世界へ移っていった経緯を教えてください。

大学時代、ラグビーとパソコンにのめり込んだ挙句に中退後に就いた仕事は、大手電機メーカーに派遣されての銀行のATM開発、現金自動支払機など端末に搭載される通信ソフトの開発でした。その後、私が縁故で就職した会社の方がラックという会社をつくることになり、1986（昭和61）年、私もラックに移ることにしました。

ラックでも私は開発者として働き、POS（販売時点情報管理）関連など、いくつもの新規事業を手がけることになります。もちろん、成功ばかりではなく、他事業での失敗を経て、会社の力をどこへ集中するかを考えることになり、たどり着いたのがセキュリティだったんです。ラックでは1995（平成7）年にセキュリティ事業を立ち上げ、私は2000（平成12）年にこの事業に参加しました。

――もともとセキュリティには関心があったのでしょうか。

セキュリティは嫌いでした。プログラムを書いていた側からすると、人が一生懸命つくったものを後から現れて「ここが弱い」「ここが危ない」と言う人たちでしたので、正直うるさかったですし、何を偉そうにしているんだと当時は思っていました（笑）。ただ、薩摩出身の先輩に説得され、次の日からセキュリティに異動しました。結果として人生を変えてくれたので、ありがたいと思っています。

とはいえ、私はセキュリティの専門家として育ったわけではありません。コンピューターの原理やソフトの仕組みから理解し、機器に近い基礎部分からプログラムを書いてきたので、コンピューターがどう動き、どこを突かれると想定外の動きをするのかを構造から考えられました。いわゆるハッカーのスキルがあったわけではありませんが、事業を引き継いでみると、セキュリティは技術としても経営の観点でもすごく面白かった。日本を守るといった社会貢献などの使命感は後からついてきた感じですね。

私がシステムの開発者として働いていた当時のインターネットは、現在のように商品やサービスが行き交い、大きなお金が動くビジネスの場ではありませんでした。それでも、インターネットにつながる以上、システムには必ず外から触れられる面ができてしまう。つくる側の経験があったからこそ、どこが狙われるのか、攻撃する側がどう考えるのかを理屈として捉えられました。セキュリティだけを学んできたのではないことが、結果として役に立ったのだと思います。

2002（平成14）年には、企業のシステムを24時間365日見守り、不正アクセスの兆候を発見・分析する拠点、JSOC（Japan Security Operation Center）を本格稼働させました。こうした監視サービスを事業の柱の一つとして続けるなか、ラックのセキュリティ事業全体が黒字になったのは2005（平成17）年です。まじめに続けた成果だと言いたいところですが、インターネットがビジネスの場になり、その結果、逆説的ですが犯罪が成立してしまう市場が開いた時期と重なったのではないかと推測しています。新規事業が成立したのは、運がよかった面も大きいと思います。

大企業なら、利益が出ない新規事業を10年も続けるのは難しいでしょう。しかし、私たちはセキュリティ以外に行き場がなく、黒字になるまで引くに引けなかった。それが結果的に、事業として残すことにつながりました。

インターネットからAIへ、セキュリティは「ど真ん中」に

――西本さんがセキュリティに携わるようになった当時と現在では、セキュリティの位置づけはどのように変わりましたか。

「すみっコぐらし」から、特に今年の4月以降急速にど真ん中へ来たという感覚です。初期のインターネットは、主に情報を見る場所でしたが、2005年頃から本格的なビジネスの場になり、お金が動くようになった。そこで犯罪も成立するようになります。さらにスマートフォンやSNSが普及し、今はAIが仕事や生活そのものへ入ってきました。

パソコンが会社や家庭の中にあるだけだった時代と、スマートフォンを一人ひとりが持ち歩く時代とでは、守る対象も変わります。通信も買い物も仕事も、日常の行動がネットワークにつながるようになった。セキュリティは、限られた技術者がサーバーを守れば終わる話ではなくなり、組織の運営や個人の行動と切り離せなくなりました。AIの登場は、その変化をさらに進めています。

2022年にChatGPTが一般に公開され、対話型の生成AIが広く知られるようになった当初、AIは物知りな秘書のように質問へ答えるものでした。それが道具を使い、画像や音声を扱い、自ら仕事を進めるAIエージェントへ変わっている。2026年になり、先端AIに取り組む人たちもこぞってセキュリティを扱い始めました。

考えてみれば当たり前です。質問に答えるだけのAIなら、出力されたものを人が読んで判断できます。しかし、AIエージェントは外部の道具を使い、情報を探し、別のシステムへ自律的に働きかけます。AIが「知るもの」から「行動するもの」へ変われば、誤った答えだけでなく、誤った行動をどう止めるかまで考えなければならない。AIの進化によって、セキュリティが担う範囲も広がり、AIを安全に使うための中心課題になったのです。

――AIの登場は、日本の企業や、その経営者、働く人にどのような変化をもたらすのでしょうか。

日本では長い間、デジタルは専門家の仕事で、一般の人には関係のない世界だと見られてきました。スマートフォンはコンピューターを広めましたが、多くの人にとってはコミュニケーションの道具にすぎず、コンピューターが持つ能力を十分に使いこなすまでには至っていませんでした。しかしAIは、スマートフォンからでも、自分の言葉で使えます。使い方が分からなければ、AIそのものに尋ねることもできる。私は、ここで初めてデジタルが本当の意味で民主化されたのではないかと思っています。

AIは人の能力を拡張しますから、インターネットやスマートフォンが登場した時よりも、その差は具体的に表れると思っています。AIで従業員の能力を拡張できない組織は、競争しにくくなるでしょう。人の実力の定義も、AI力を含めた力に変わりつつあります。だから「危ないから使わない」だけでは済みません。安全に使うための仕組みをしっかり準備してあげる必要があります。

――そのAIは攻撃側にも防御側にも力を与えます。今後をどう見ていますか。

AIによって、攻撃側が凶暴なほどの能力を結果的に持ってしまうのはある面必然だと考えています。現在のデジタル空間に限れば、AIが全てを把握できるものと考えられるからです。ただし、それも一時的で先端AIを使った攻撃力と防御力は、いずれ均衡していくのではないかと見ています。物理空間で動くフィジカルAI^*1や量子コンピューター^*2が本格化すれば、また別の世界になるでしょう。

*1 フィジカルAI：AIの高度な判断能力をロボットや自動運転車などの物理的な身体に統合し、現実世界で自律的に行動させる技術。

*2 量子コンピューター：物質の最小単位である「量子」の性質や量子力学的現象を利用して並列計算を行う、次世代のコンピューターで、従来のコンピューターでは膨大な時間を要する計算を、高速に解ける可能性がある。

もう一つ見ておくべきなのは、犯罪がサイバー攻撃だけで完結しないことです。現在も、デジタルで集めた情報を詐欺に使ったり、「トクリュウ」などの犯罪グループの活動につなげたりする動きがあります。AIで攻撃やだまし方が巧妙になれば、AIを含めたコンピューターの中だけを守って終わりとはいきません。人がだまされること、デジタルの外で行動させられることまで含めて考える必要があります。

ブレーキがあるからこそ、AI時代の事業は加速できる

――「セキュリティドライブ」で、西本さんは事業や企業にとって「セキュリティはただのブレーキではない」という考え方をおっしゃっています。これはどういうことでしょうか。

よく、セキュリティは事業のブレーキだという表現を耳にしますが、みなさんは、ブレーキのない車に乗りたいでしょうか。しかもシートベルトもない車に。ブレーキがあるから、安心してスピードを出せるんです。事業も計画通りに進むとは限りません。何かが起きたら立ち止まり、周りを見て分析し、打開策を考えて行動する。セキュリティは、その一環です。

車にはブレーキだけでなく、進む方向を決めるハンドルがあり、状態を知らせる計器があり、万一の事故の影響を小さくする車体構造としてエアバッグやシートベルトがあります。事業のセキュリティも、一つの製品を入れて終わるものではありません。どこへ進むかを決め、危険を把握し、必要なら止まり、何かが起きても素早く立ち上がれる。そうした仕組みがそろって初めて、事業は安心して加速できるのです。

2026年7月15日に立ち上がった新メディア「セキュリティドライブ」のロゴ

――セキュリティは、事業を安心して前へ推進させるためのブレーキである一方、それがあるからこそアクセルを踏めるのですね。

日本は効率化や無駄の排除を徹底する傾向があります。それ自体は当然ですが、うまくいくことだけを前提にすると、一つの不具合があった場合、すべてが止まってしまう。うまくいかなかったときにどうするかまで考えていなければならない。「想定外」が起きるのは、ある意味で必然です。セキュリティとは、起きるかどうか分からない問題を怖がることではありません。起きたときに選べる手段を、平時につくっておくことでもあるんです。

――想定外に強い組織をつくるには、何が必要でしょうか。

すべてのシステムが平常通りに動くことだけでなく、トラブルがあって機能が限られた状態でも事業を続けられるかを考えることです。中核のシステムだけ動かす、あるいはコンピューターが使えなくても最低限の仕事は続ける。一見すると無駄に思える訓練をしている会社ほど、実は強い。個人も「コンピューターが使えなければどうするか」を想定して訓練しておくといいと思います。

何を最優先で残すかは、会社によって違います。中核の業務は何か、それが止まったら誰に影響が及ぶのか、どの段階で通常運転を諦めて機能を限定するのか。そこは技術者だけでは決められません。実際に仕組みを動かす現場と、それを理解し事業の優先順位を決める経営者が一緒に考える必要があります。セキュリティが経営課題だというのは、まさにこういう点です。

AIエージェントがメールを送り、アカウントを使い、システムを操作するなら、どこまで任せるか、何をしてはいけないかをあらかじめ決めなければなりません。異常な行動を止めるガードレールも必要です。そして、AIが止まった時、仕事まで止めるのかを考えなければなりません。車のナビやスマートフォンが使えないだけで途方に暮れるようでは困ります。

――高度なAIが判断を担う時代でも、人間にしかできないことはあるのでしょうか。

統制力・責任力と、電源ケーブルを抜くことです。AIが私たちの首を絞めようとしたら、最後は電源を抜かなければならない。だから人間は、寝るときも電源ケーブルを握っておく（笑）。技術が高度になるほど、止める判断と、その結果を引き受ける人が必要です。

それを「セキュリティドライブ」では、「実力＝（地力＋AI力）×統制力・責任力」と表現しました。地力は、自分単独でできること。AI力は本来、人や道具の力を借りる「借力」の一部です。大切なのは、AIにやらせることを制御し、結果に責任を持つことです。AIの出力をそのまま客先へ出したなら、それも出した人の成果であり、その人の責任です。「AIが間違えた」は言い訳になりません。

「セキュリティドライブ」では、AIが急速に普及・進化する時代に企業がどう対応するべきかを、経営の視点で伝えている

なぜ今、セキュリティを「経営の言葉」で伝えるのか

――こうした問題意識から、なぜ今「セキュリティドライブ」を開設されたのでしょうか。

本質的には、セキュリティが社会のど真ん中に来たにもかかわらず、経営者や一般の人にとって、その仕組みや対応すべき優先事項が分かりにくいままだという問題があります。業界の内側では、専門用語を前提に技術的な説明をしがちで、被害が事業へどう影響するのか、経営者は何を判断すればよいのかまで伝えきれていません。それではセキュリティを自分の問題として考えてもらえないと思うんです。

私も第一線の仕事から少し離れ、ようやく一般の方へ伝えることをやりたいと思える年齢になりました。むしろ自分にできるのは、専門家と一般の人の間をつなぎ、これまで育ててもらった業界へ恩返しすることなのだと気づいた、と言うべきかもしれません。

――「セキュリティドライブ」の読者には、何を持ち帰ってほしいですか。

主なターゲットはITやセキュリティに詳しくない中小企業の経営者ですが、これから社会に出る学生や、若い社会人にも読んでほしいと思っています。また、セキュリティ専門家の方々にも、ものの見方のひとつとして読んでいただければありがたいです。

「セキュリティドライブ」でやりたいのは、専門技術を網羅的に教えることではありません。世の中で起きている事件や技術の変化を記事として取り上げ、それが経営にとって何を意味するのか、今何を考え、どんな判断や準備をすべきかを読み解いてみることです。セキュリティを情報システム部門だけの言葉から、経営者が自社の課題として考えられる言葉へ翻訳することが、このメディアのひとつの役割だと思っています。

例えば、経営者がすべきことは、攻撃手法の名称を覚えることではありません。自社の顧客情報や受発注システムが被害にあったとき、影響を測れるのか、営業を続けられるのか、取引先への説明は誰が担うのか、復旧まで何を優先するのかといった判断材料です。記事では問題を示すだけでなく、その問題が自社にふりかかったとき、経営者が次の行動を決められるところまで伝えたいと思っています。

――セキュリティという観点からまさに事業を「ドライブ」させるための情報を発信しているのですね。

人生も会社も、いろいろな道を走ります。山道もあれば、草原や高速道路もある。どうせ走るなら楽しみたいですよね。セキュリティも同じです。義務だと思えばつらいだけですが、さまざまな景色を見て経験できると思えば、面白いし成長できる。せっかくなら、つらい山道も楽しみましょうよ。「ドライブ」という名前にはそんな思いも込めました。

経営者にも個人にも残るのは、自ら判断・決断し責任を負うこと

――経営者と個人は、これからセキュリティとどう向き合うべきでしょうか。

私は、セキュリティ至上主義にはうんざりしていました。「セキュリティはすべてに優先する」という考え方は嫌いです。本来は自発的にやるもので、やらされるものではない。ただ、「自発的に取り組む＝好き勝手にしてよい」ではありません。それと同じで、企業には顧客や取引先から預かった情報があり、社会の中で果たすべき責任があります。ルールを守ったうえで、どのリスクを取って前へ進むかを自分で決め、結果に責任を持つ。そこまで含めて自発性なのだと思います。

経営者は、セキュリティを専門部署へ丸投げするのではなく、まず自社が守るべき情報や、業務が止まった時の影響を理解する。そのうえで、予想する影響に対して、例えばどこまで新しい技術を使い、どのような異常が起きたら利用を止め、誰が顧客や取引先へ説明をするのかを、平時に決めておく必要があります。

個人も同じです。AIの回答や作成物を確かめずに使い、問題が起きたときに「AIが間違えた」で済ませることはできません。技術を使う人と組織が、AIへ任せる範囲と、最終的に判断する人をあらかじめ決め、結果を引き受ける。そこまでできて初めて、セキュリティは挑戦を止めるブレーキではなく、安全に挑戦するための仕組みになります。

※記事の情報は2026年10月13日時点のものです。