「今だけ共有ID」「忙しいから私物スマホで」――日常の「うっかり」に潜むセキュリティの落とし穴： がっかりしないDX 小売業の新時代（1/4 ページ）

共有ID、古いアクセス権限、止め忘れたアカウント、未承認の生成AIーー。サイバー攻撃に狙われる“隙”は、日常の小売業務の中にある。具体的に例示しながら、必要な対策について考えてみたい。

[郡司昇，ITmedia]

連載：がっかりしないDX 小売業の新時代

デジタル技術を用いて業務改善を目指すDXの必要性が叫ばれて久しい。しかし、ちまたには、形ばかりの残念なDX「がっかりDX」であふれている。とりわけ、人手不足が深刻な小売業でDXを成功させるには、どうすればいいのか。長年、小売業のDX支援を手掛けてきた郡司昇氏が解説する。

　「サイバーセキュリティ」という見出しを見て「重要かもしれないが、自分には関係ない」と記事を読み飛ばしていないでしょうか。

　事故の入り口はサーバや情報システム部の中だけにあるわけではありません。共有ID、古いアクセス権限、止め忘れたアカウント、未承認の生成AI──。こうした入り口は、売り場、商品、営業、人事、経理、店舗開発などの日常業務から生まれます。

　サイバーセキュリティは、誰が情報を扱い、誰に権限を渡し、どのサービスを使うかという、全ての会社員に関わる問題です。

　日常の小売業務にひそむ、攻撃者に狙われる“隙”を具体的に例示しながら、必要な対策について考えてみたいと思います。

著者プロフィール：郡司昇（ぐんじ・のぼる）

20代で株式会社を作りドラッグストア経営。大手ココカラファインでドラッグストア・保険調剤薬局の販社統合プロジェクト後、EC事業会社社長として事業の黒字化を達成。同時に、全社顧客戦略であるマーケティング戦略を策定・実行。

現職は小売業・IT企業双方のアドバイザーとして、顧客体験向上による収益向上を支援。「日本オムニチャネル協会」シニアフェロー　Nextリテール分科会リーダーなどを兼務する。

公式Webサイト：小売業へのIT活用アドバイザー 店舗のICT活用研究所 郡司昇

公式X：@otc_tyouzai、著書：『小売業の本質2025DX』

「忙しかったから、つい……」が命取りに　日常に潜む5つの落とし穴

1.忙しい日の「今日だけ共有ID」

　セール初日、店舗の応援勤務に来た従業員がレジ関連のシステムにログインできません。個人アカウントを用意する時間はなく、店長は店舗の共有IDとパスワードを伝えます。目の前にはレジを待つ顧客がいます。業務を止めないための現実的な判断です。

　しかし、そのIDで問題が起きても、誰が操作したのかを特定できません。パスワードがどこまで広がったのかも分からなくなります。

　「今日だけ」の例外が、管理できない「事故の入り口」を残すことになるのです。

2.社内システムの画面をスマホで撮り生成AIに分析させる

　「売り上げや在庫を分析して、店舗の売り上げを伸ばしたい」

　しかし、社内システムからデータを出力し、分析用に加工するには手間がかかる上、ノウハウが必要です。

　そこで担当者は、商品別の売り上げや在庫が表示された画面を私物のスマートフォンで撮影し、画像を個人で利用している生成AIに読み込ませます。

攻撃者に狙われる“隙”は日常業務の中にひそんでいる（出所：ゲッティイメージズ）

　「前年同期と比べて売り上げが落ちている商品を抽出し、在庫状況も踏まえて対策案を示して」と指示すると、生成AIは短時間で回答します。

　担当者に情報を持ち出す意図はありません。目的は、日常業務を効率化することです。

　しかし、撮影した画面には、店舗別売り上げ、商品原価、在庫数、従業員名などの機密情報が含まれている可能性があります。

　会社が承認・管理していない生成AIに画像を入力すると、どの情報が、どのサービスへ送信されたのかを会社側で把握できません。このような未承認の生成AI利用は「野良AI」と呼ばれます。問題は、新しい技術を使ったことではなく、必要な分析を正規の方法ですぐに行えず、安全に使えるAIも用意されていないため、業務上の必要性から管理外の利用を生んでしまっていることです。