「今だけ共有ID」「忙しいから私物スマホで」――日常の「うっかり」に潜むセキュリティの落とし穴： がっかりしないDX 小売業の新時代（4/4 ページ）

共有ID、古いアクセス権限、止め忘れたアカウント、未承認の生成AIーー。サイバー攻撃に狙われる“隙”は、日常の小売業務の中にある。具体的に例示しながら、必要な対策について考えてみたい。

[郡司昇，ITmedia]

経営、情シス、現場――セキュリティの役割分担どうすべきか

　サイバーセキュリティは会社全体の問題です。しかしながら、全従業員をサイバーセキュリティの専門家にすることはできません。必要なのは、役割を明確にすることです。

経営が決めること

　何を優先して守り、どこまでリスクを受け入れるかを決めます。顧客情報、従業員情報、決済、受発注、物流では、停止や漏えいが起きた場合の影響が異なります。優先順位と投資基準を決めるのは経営の役割です。

情報システム部が整えること

　認証基盤、監視、技術的な防御、全社標準を提供します。全ての業務を抱えるのではなく、各部門が安全に仕事を進められる土台を作ります。

各部門が管理すること

　自部門で利用するデータ、アカウント、権限、クラウドサービス、生成AI、委託先を把握します。異動、退職、契約終了などの変化に合わせて、不要な権限を止めます。

最初に必要なのは棚卸し

　サイバーセキュリティ対策というと、新しい製品の導入から考えがちです。しかし、最初に必要なのは棚卸しです。

　どの部門や拠点に何があり、誰が使い、誰が責任を持ち、事故時にどう止めるのかを把握します。対象はPCやネットワーク機器にとどまらず、クラウドサービスやアカウント、権限、データ、生成AI、各種契約、委託先まで全て含まれます。

　その後、責任者を決め、不要なアカウントや過剰な権限を減らします。さらに、申請、異動、退職、契約終了、定期点検を日常業務へ組み込みます。順番は「把握する、決める、減らす、仕組みにする」です。

セキュリティは企業の「運営品質そのもの」

　目指すべきは、最も忙しい日に、最も経験の浅い人が、急いでいても安全な方法を簡単に選べる状態です。

• 規定を読み込まなくても正しい手順で処理できる
• 期限が来れば権限が止まる
• 安全な生成AIを迷わず使える
• 例外がいつまでも残らない

　こうした仕組みがあれば、現場の注意力だけに頼らずに済みます。

　経営が優先順位を決め、各部門が自分の業務を管理し、情報システム部が安全に運用できる仕組みを支える。この役割分担があって、初めて認証、監視、防御などの技術が有効に機能します。

　サイバーセキュリティは、情報システム部だけの仕事ではありません。問われているのは、ITの強さだけではなく、会社の日常業務を安全に回す運営品質そのものなのです。

視聴無料・LIVE配信：
AI時代の経営リスクが分かる「ITmedia Security Week 2026 夏」

---

• 開催日：8月31日（月）〜 9月7日（月）
• 形式：オンラインセミナー
• 参加費：無料

講演内容を詳しく見る