世界最大の小売企業であるウォルマートは、規模というものを知り尽くしています。
同社はどの食料品店よりも多くのバナナを販売し、19カ国で200万人を超える従業員を抱え、年間7000億ドル以上の収益を生み出しています。そして、あらゆる大企業と同様に、サイバー攻撃者の標的にもなっています。そのため、経営陣がリスクを理解し、対策計画に賛同することが不可欠です。
「2026年の小売業界は、もはや単なる便乗攻撃の標的ではありません。消費者の信頼とシステム全体のレジリエンスをめぐる最前線となっています」と、Information Security Forumの最高経営責任者スティーブ・ダービン氏は語ります。攻撃対象領域は「過度に拡張され、深く絡み合った」状態になっており、小売業者は金銭目的の犯罪組織と、「社会的混乱を狙う際の弱点として小売業を捉える」国家的な攻撃者の双方に直面していると同氏は説明します。
侵害に関するデータは、小売業界のサイバーセキュリティ責任者がいかに慌ただしい日々を送っているかを物語っています。ベライゾンの2026年版データ侵害調査報告書(DBIR)では、小売業者において806件のデータ侵害が確認されていますが、これは世界全体のごく一部にすぎません。
セキュリティ運用はイノベーションと前向きな変化を後押しする存在でなければならない、と同社のグローバルセキュリティ運用担当バイスプレジデントであるジェイソン・オデル氏は語ります。同氏はウォルマートでのセキュリティ運用の改善に7年間携わっており、具体的なビジネス価値の提供と信頼の保護に一貫して注力してきました。
業界には発想の転換が必要だと、オデル氏は言います。同氏は恐怖・不安・疑念(FUD)をあおる旧来のやり方を捨て去り、ビジネス側の要望に対する「ノー」という回答を、安全な速度でビジネス目標を達成するための道筋を示す、より前向きな「イエス、そして…」という回答に置き換えていると語ります。
「ビジネス側は前進し、成長し、革新し、顧客にサービスを提供しようとしています」とオデル氏は述べます。「実務者として、私たちはそのことを念頭に置く必要があります。私たちの役割は、その道のりをより困難にすることではありません」
イノベーションを後押しする
ユーモアを交えながら、オデル氏はウォルマートの敵、「摩擦」という言葉を紹介します。
「そう、摩擦です」
これは、セキュリティ管理の導入のように必要なものであっても、ビジネスの動きを遅らせるあらゆる要素を指します。同氏はそれを謝ることなく受け入れつつも、運用上の足かせになっていることは認めています。
オデル氏はこの概念を用いて、セキュリティ価値と摩擦をそれぞれの軸とした、シンプルながら効果的な四象限でチームの成果を捉えています。
「私たちが目指すのは、運用上の足かせを抑えつつ高いセキュリティ価値を生み出すことです。運用上の足かせが大きくてもセキュリティ価値が高ければ、それは許容できます。運用上の足かせが小さくセキュリティ価値も低い、というのも時には許容範囲です」と同氏は語ります。「私たちが避けたいのは、運用上の足かせが大きく、セキュリティ価値が低い領域です。そこに陥ると、実務者としての評判が悪くなってしまいます」
その象限にとどまってしまうと、社員が日々の業務をこなすためにセキュリティ管理を回避しようとする事態にもつながりかねません。
「私たちは毎日、スピードとセキュリティの間の綱渡りをしています」とオデル氏は語ります。「利便性に傾きすぎればリスクが生まれます。管理に傾きすぎれば、人々は創造的な方法で安全対策を回避しようとし、それがかえって大きなリスクを生むことも少なくありません」
経営陣との信頼関係を築く
Omdiaのチーフアナリストであるリック・ターナー氏は異なる見方をしており、サイバーセキュリティをビジネスの推進役として位置づけることには「極めて懐疑的」だと述べています。同氏はオデル氏が否定的な回答から脱却しようとする姿勢には賛同するものの、「セキュリティはしばしば、そしておそらく当然のこととして、物事のスピードを落とすべきものだ」と主張します。これは、セキュリティ上の必要性と、より速く進みたいというビジネス側の要望との間で、同氏が「減速を嫌う組織」と呼ぶ状況において特に顕著な、「その繊細なバランス、いわばバレエのような駆け引き」を伴います。
ダービン氏は、サイバーセキュリティのリーダーが現在の情勢の中で真に存在感を発揮するには、取締役会において戦略的なリスクパートナーとしての立場を確立しなければならないと付け加えます。
「世界的に見られる変化は、実用的なレジリエンスを重視するモデルへの移行です」と同氏は言います。「成功しているセキュリティリーダーは、ビジネスのリスク許容度を理解し、組織が目標を達成できるよう導いています」
ウォルマートの経営陣との間でその信頼を築いていくことは、オデル氏にとって不可欠です。同氏はスティーブン・R・コヴィー氏の著書『7つの習慣』にある、「イノベーションは信頼のスピードで起こる」というモットーを引き合いに出し、これを自身にとって重要な考え方だと語ります。
FUDで人々を怖がらせるのではなく、リスクについて実のある対話をすることが重要だと、オデル氏は語ります。同氏は、ウォルマートには全社の各部門のリーダーが集まって課題について語り合う「Know Your Business Day」という取り組みがあると紹介しました。
「これは私たちがこれまでに行ってきた中でも最も優れた取り組みの一つです」とオデル氏は語ります。「より深い理解と共感を得て、そこから立ち去ることができます」
先を見据えた計画
経営陣がサイバーセキュリティに関する報道を目にすると、幹部たちは通常、セキュリティ責任者に「うちは大丈夫か?」といった類いの質問を投げかけます。彼らに安心感を与える答えは、すでに完了している取り組みの中にあると、オデル氏は言います。
「ニュースで話題になる出来事は、たいてい私たちがすでに検討済みのものです」と同氏は語ります。オデル氏はシンプルな対応を心がけています。すでに実施した内容と、今後実施予定の内容を示す、経営幹部向けの1枚資料を作成するのです。ただし、要約する対象である脅威の状況の複雑さを考えると、それがいかに難しい作業であるかも同氏は認めています。
この資料は色分けされており、脅威への対応状況を、どの管理策がその脅威アクターの活動を阻止できたかに応じて異なる色で示します。また、防御策がセキュリティロードマップ上にあるものなのか、実際に導入予定のものなのかも別の色で表示されます。管理策にギャップが見つかった場合はそれも明確に記載され、どのような質問にも答えられるようにしています。
これにより一定の安心感が生まれると、オデル氏は語ります。「セキュリティ運用において、追い詰められた状況に置かれるのは避けたいものです。『そこには何も手を打っていません』と言うのは、気分の良いものではありません」と同氏は語ります。
これは透明性の確保にも役立ちます。「透明性を保つことは、あなたができる最も重要なことの一つです」とオデル氏は語ります。「100%正直に、そして率直でなくなった日こそが、いずれ下流で問題を抱えることになる日です」
仲間から学ぶ
オデル氏自身も学びの途上にあり、業界の仲間との対話を頻繁に行っており、これを高く評価しています。同氏は、セキュリティ運用の機能が組織によって異なる点、たとえば実現するビジネス成果や、能力、文化の違いに注目しています。
「私たちが恐らく共通して合意できることの一つは、セキュリティ運用に関して、必ずしも万能の正解は存在しないということだと思います」とオデル氏は語ります。
明らかなのは、ウォルマートが、数十億ドル規模の事業を猛烈な脅威の状況から守りながらも、変化するリスクに対応できるだけの速さで動ける、拡張性のあるサイバーセキュリティ運用の仕組みを構築したということです。信頼を築き、それを維持し、イノベーションを後押しすることこそが、そのビジョンの礎となっています。
