インターネットを切り離す日、会社の仕事は続けられるか
情報漏洩やサイバー攻撃への不安が大きくなるなかで、こんな未来を考えている。
企業はインターネットへの接続を厳しく制限し、外部クラウドの利用も原則禁止にする。日々の仕事は、社内に保存したデータと、デスクトップ版のExcelやWord、Outlookを中心に回す。
一方、外のインターネットは改良されながら残る。利用者や端末の認証が強まり、国や地域によって、使えるサービスや接続先がさらに分かれていく。企業はそこでAIを使って業務アプリを開発し、完成したものを社内のイントラネットへ持ち込む。
さらに、研究開発などに使う高度なAIには、一般のネットから切り離した専用環境を用意する。
これは一つの未来シナリオだ。インターネットやSaaSが全面崩壊すると予言したいわけではない。今回確認した資料からも、その結末が必然だとはいえない。
ただ、「外部につながること」を当たり前にしてきた会社の仕組みを、考え直す価値はある。
これは私が考える最悪の未来。ただ、コレを想定し対応方法を練っておけば、どのような状態になっても問題なく対応できるだろう。
30年前に戻るようで、戻るわけではない
インターネットの使用が制限される時期というと、今から30年前、Windows95がヒットした時期を思い出す。
1990年代半ばの企業環境は、会社によって大きく異なる。それでも、社内のパソコンとサーバーを中心に仕事をする姿は、今回の構想と重なる。
今後、重要情報を扱う企業が、外部への接続を絞ることは十分考えられる。顧客情報、設計情報、研究成果などについて、「社外へ出さない」を出発点に設計するわけだ。
そのための技術は、すでに存在する。
Microsoftは2026年2月、外部クラウドとの接続なしで動くAzure Localや、社内で稼働するExchange Serverなどの業務基盤を発表した。大型AIモデルを閉鎖環境で動かす仕組みも、対象顧客向けに提供するとしている。
The Official Microsoft Blog
つまり、社内で完結する環境は、古いパソコンを引っ張り出してつくる必要はない。現代の技術でつくり直せる。
もっとも、これを「企業が一斉にクラウドを禁止する証拠」と受け取るのは早い。外部クラウド、社内設備、両者を組み合わせた環境を、業務ごとに選べるようになっている、と見るのが適切だろう。
社内運用には、設備費だけでなく、更新、監視、障害対応、担当者の確保が必要になる。自社だけで維持できるかも、判断に含めなければならない。
インターネットは、認証と境界が増えるのか
「誰もが接続できるインターネットから、認証された人だけが使えるネットへ」という方向には、現実味がある。 これまでのインターネットは、普及を優先し、誰でも、簡単に接続できるようになっていた。これを、認証された人だけが接続できる形に変える。
ただ、現在のインターネットも、すべてが無認証で使えるわけではない。公開された通信基盤の上に、認証付きの企業システムやサービスが動いている。
今後は、その利用条件がさらに厳しくなるのではないか。誰が、どの端末で、何のために接続するのか。人間だけでなく、AIや自動処理にも、明確な身元と権限が求められるようになる。これは私の見立てだ。
NISTのゼロトラストの考え方も、社内にいるという理由だけでは信用せず、利用者や端末を確認し、アクセスを認可することを重視している。
NIST
ここで、認証の強化と、国や地域によるネットの分断は、分けて考えたい。
認証を強めても、世界共通のインターネットは維持できる。一方、国境を越えた接続やサービス利用に制限を設ければ、同じネットにつないでいても、見える情報や使える機能は変わる。
Internet Societyは、国別のゲートウェイやアクセス制限など、世界のインターネットの相互接続性を損なう動きを取り上げている。地域ごとの分断は、空想だけの話ではない。Internet Society
ただし、分断そのものが安全を保証するわけではない。国際取引や共同研究を難しくし、知識へのアクセスや表現の自由を狭める可能性もある。
AIでアプリをつくり、社内で使う未来
企業がSaaSの利用を絞り、必要なアプリをAIの力で開発する。この構想は、特に小規模な業務ツールでは検討に値する。
例えば、申請書の作成、社内台帳の検索、定型帳票の出力。こうした用途なら、SaaSを使うのではなく、必要な機能を絞ったアプリをAIで開発、社内サーバーで動かす選択肢がある。
ただし、「AIでつくった」と「社内だけで動く」は、別の条件だ。
画面が社内で開いても、裏側で外部のAI APIやデータベースを呼び出していれば、接続が切れた途端に止まる。ログインだけ外部クラウドに依存している場合も同じだ。
外のAIを開発に使うなら、機密情報を入力しない設計にする。架空データで開発し、コードや部品を検査してから、管理された手順で社内へ移す。そして、実行時に必要なものを社内でそろえる。
AIで開発の手間が減っても、運用の責任まで消えるわけではない。
小さな社内ツールから試し、効果と保守負担を確かめる。重要システムへの適用は、その先にある。
高度AIを、専用の閉鎖環境で動かす
人類を大きく超える性能を持つと考えられる一部のAIは、研究開発や重要インフラなど、用途を限定したAI専用環境で使うことも考えられる。
ただ、閉鎖環境で大型モデルを動かせることと、そこで最先端AIの学習や新技術開発を継続できることは同じではない。学習済みモデルを使う「推論」と、大規模な学習では、設備や運用の負担が異なる。
専用環境でも、モデル、データ、ソフトウェアの持ち込みや更新は必要になる。外部との境界をどう管理するか、人やAIにどこまで操作を許すかが重要だ。
したがって、未来を
「社内業務のネット」
「外部とつながるネット」
「高度AIの専用ネット」
という三つに分ける見方は、思考の整理に役立つ。ただし、すべての企業が同じ三構成になるとは限らない。
一つの会社のなかで、業務の重要性に応じて併存する形もあるだろう。
クラウドのデータを、手元へ取り戻せるようにする
ここまでの構想を踏まえると、今のまず企業に必要なのは、外部サービスを使えなくなった場合の準備だと思う。
インターネットとSaaSの全面崩壊は、極端な想定として検討しておく。そのうえで、回線障害、特定サービスの停止、アカウントの利用不能、攻撃を受けた際の自主的なネット遮断など、個別の状況でも役立つ備えから始めたい。
クラウド上の重要データを、社内のストレージなどへ定期的にバックアップする。これは有効な出発点だ。
ただし、単に同期するだけでは、誤削除や破損まで反映されることがある。また、社内ネットワークにつなぎっぱなしの保存先は、同時に被害を受ける可能性がある。
米CISAも、オフラインで暗号化したバックアップを維持し、定期的にテストすることを推奨している。 cisa.gov
社内に一つコピーするだけで終えず、世代を残し、管理権限や保管場所を分け、オフラインまたは変更・削除を制限した保管先を組み合わせる。
何より、「保存できた」ではなく「復元して業務に使えた」まで確認する。バックアップは、復元できて初めて仕事をする。
なお、バックアップはデータ喪失や業務停止への備えだ。すでに外へ流出した情報を取り戻す対策にはならない。漏洩を防ぐ権限管理や監視も、並行して必要になる。
データだけでなく、業務を再現できるか
SaaSからCSVを取り出せても、承認履歴、添付資料、アクセス権、業務ルールまで再現できるとは限らない。
顧客台帳があれば受注できるのか。価格表や契約条件も必要ではないか。請求データを保存していても、請求書を発行する手段は残っているか。
こうした単位で、最低限の代替手順を用意する。連絡先や復旧手順も、障害時にアクセスできる場所へ保存しておきたい。
買い切り版Officeは、接続条件まで確認する
ExcelやWordを手元で使えるようにする発想は、業務継続に役立つ。
ただし、「買い切り版なら完全オフラインで使い続けられる」と考えるのは危険だ。
MicrosoftのFAQでは、一般向けOffice 2024は認証維持などのために定期的なインターネット接続が必要で、完全に切断された環境には適さないと説明されている。一方、Office LTSC 2024は閉鎖環境向けの選択肢になる。
Microsoft Support
購入時には、商用利用の条件、認証方式、更新方法、サポート期限を確認する。買い切りは、永久に安全に使えるという意味ではない。
Outlookについても、アプリが起動することと、メールを送受信できることは別だ。保存済みメールを読めても、外部との送受信にはメールサーバーへの通信が必要になる。Microsoft Support
社内メール基盤を用意する場合でも、社外へメールを送るには外部への通信経路が要る。
実際に、外部接続を止めて試す
対策を机上の計画で終わらせないために、まずは安全な検証環境で試したい。
外部接続とクラウド認証が使えない状態で、重要データを開く。受注や請求の代替処理をする。バックアップから復元する。担当者が不在でも手順をたどれるか確認する。
あらかじめ、許容できる停止時間と、どの時点までのデータを戻す必要があるかも決めておく。
すべてを完全に再現しようとすると、備えが高額になりすぎる。まずは「数日間、最低限の仕事を続けるには何が必要か」から考えるのが現実的だ。
つながる便利さに、切り離せる備えを
私の見立てでは、企業が一斉に30年前の環境へ戻るより、業務ごとに接続範囲を選ぶ方向のほうが現実的だ。
外部サービスを活用する仕事もあれば、社内で完結させる仕事もある。高度なAIは、扱う情報や許す操作に応じて、専用環境で動かす。
その境界を、必要なときに切り離せるようにしておく。
インターネットやSaaSが全面崩壊する未来は、絶対ではない。それでも、使えなくなった日の備えは、もっと身近な障害にも効く。
「クラウドを使うか、使わないか」という議論だけでは、会社の強さは決まらない。
明日、外部につながらなくなったとして、何の仕事を、どこまで続けられるか。
まずは、その問いを社内で共有するところから始めたい。
コメント