GMO不正アクセス 第2回：エンジニアの指摘が経営に届かない理由

GMOインターネットグループの不正アクセスを防げたかもしれない警告は、内容が正しく、GMO自身が抱える専門家の手で書かれ、3人の責任者が目を通していた。それでも何も変わらなかった。^[1] 日本の企業で技術に関する権限を誰が握り、技術を理解する人間にいくら払っているかを考えれば、これは予想どおりの結果だった。

同時に起きた2つの失敗#

GMOでは、2つの問題が同時に起きていた。

ひとつは、問題を見つけたエンジニアに権限がないことだ。GMOのセキュリティ子会社イエラエが問題を見つけ、その指摘は3人の責任者にも届いていた。しかし指摘した側には、修正が効いたかを確かめる再診断を命じる権限がなく、再診断は行われなかった。^[1]

もうひとつは、権限を持つ側が技術上のリスクを判断できないことだ。グループの法務責任者は会見で、どの脆弱性を取締役会に上げるかの明確な基準がなかったと述べた。^[2] 侵入テスト（擬似攻撃による診断）の結果が何を意味するか分かる取締役会なら、自分から報告を求める。分からない取締役会にとっては、ほかの案件と並ぶ議題のひとつでしかない。

どちらか一方だけなら、会社はまだ対処できる。エンジニアに権限がある会社では、判断する側が重大な指摘と日常的な指摘を見分けられるので、上に報告するルールは要らない。経営陣が技術に疎い会社でも、報告のルールが厳格なら指摘は取締役会に届く。ただし時間がかかり、指摘のたびに上に上げて説明する人間が社内に残っていなければならない。日本ではその役を外部の委託先が担うことが多く、委託先はプロジェクトが終われば去っていく。イエラエは委託先ではなくグループの会社だったが、診断したサービスに対する権限は何も持たなかった。GMOには、報告のルールも、エンジニア出身の責任者もいなかった。

そして日本では、この両方が欠けている会社のほうがむしろ普通だ。理由は、誰が会社を動かしているかと、技術者にいくら払っているかにある。

会社を動かしているのは誰か#

下の表に、米国の大手テクノロジー企業と日本の大手インターネット企業の創業者または経営トップが、経営者になる前にエンジニアまたは科学者として働いたかをまとめた。学位ではなく、実際に何を仕事にしていたかで判断した。「技術職」の欄の○は技術職の経験がある人、△はそれに近い経歴の人、×は経験がない人を示す。

日本でエンジニア出身の創業者が率いているのは、Preferred Networksとスマートニュースだけで、表の中では最も規模の小さい2社だ。米国で唯一エンジニアの経験がないクックは、すでに大きくなったAppleをあとから引き継いでいる。

政府も同じだ。2019年9月、竹本直一氏がIT政策担当大臣に就任した。竹本氏は当時、日本の印章制度・文化を守る議員連盟の会長を務めていた。就任会見で印鑑とデジタル政府について問われ、両者が共栄するよう知恵を絞ると述べ、印鑑を全面的にデジタル化するのは印章業者にとって死活問題だと語った。^[3]

国別のソフトウェアエンジニアの給与#

下の表では、各国の統計を使い、ソフトウェアエンジニアの基本給の中央値を、同じ国のフルタイム労働者の中央値（ちょうど真ん中の人の額）と比べた。参考に会計士、経営コンサルタント、医師も並べた。金額は税引き前で、残業代と賞与を含まず、円に換算してある。括弧内はその倍率だ。^[4]

日本の医師は中央値の2.8倍で、英国、ドイツ、オーストラリアより高い。コンサルタントと会計士の倍率も、ほかの国と比べて低くはない。例外はソフトウェアエンジニアだけだ。日本のエンジニアは中央値の1.15倍で、表のどの国よりも一般の労働者に近く、会計士にもコンサルタントにも及ばない。エンジニアがその両方を下回る国はほかにドイツしかないが、そのドイツでもエンジニアは中央値の1.46倍を受け取っている。

エンジニアはどこで働いているか#

経済産業省所管の情報処理推進機構（IPA）によれば、2020年の日本のIT人材の73.6%は、システムを作って売る側のIT企業に雇われ、システムを実際に使う側の企業に雇われているのは26.4%にすぎない。米国では比率が逆で、2021年はIT企業が35.1%、使う側の企業が64.9%を占める。日本の2015年の数字は72.0%で、5年たってもほとんど変わっていない。^[5]

作る側の業界はさらに何層にも分かれていて、公正取引委員会が2022年に公表したソフトウェア業の実態調査は、この業界を「多重下請構造型のサプライチェーン」と表現し、その構造が招く買いたたきや、値段を決めたあとの仕様変更への無償対応要求といった問題を挙げている。^[6] プログラムを書く人間と、それを使う人間のあいだには、会社が何社も挟まっている。

公正取引委員会の実態調査報告書（2022年）図表2-2-1「多重下請構造（イメージ）」。^[6]

この多重構造が生まれる理由の一部は法律にある。労働契約法第16条のもとでは、合理的な理由のない解雇は無効になるため、正社員を解雇するのは極めて難しい。^[7] プロジェクトが終わっても自前のエンジニアチームを縮小できない会社にとっては、チームを持たず、開発を外注するほうが得になる。

この構造は、広く使われているソフトウェアの脆弱性が公表されたときの対応も遅らせる。IPAが2005年にまとめた、システムを受注して作る会社（SI事業者）向けの指針は、そうした会社の多くが顧客ごとの技術部門に分かれているため、納入したシステムのどれに該当するソフトウェアが入っているかを、全社で一元的に把握しにくいと指摘している。保守契約のないシステムについてまで同じ管理を長年続けるのは難しいので、保守契約のあるシステムを優先すべきだともいう。^[11] 発注する側も確かめられないことが多い。IPAが2020年に行った業務委託契約の調査では、セキュリティの責任範囲を明確にできない理由として、委託元は「専門知識・スキル不足」を、委託先は「継続契約で見直す機会がない」を、それぞれ最も多く挙げた。^[12] 保守契約が切れたシステムを、自社にエンジニアのいない会社が使っていれば、脆弱性が公表されても、気づく人はどちらの側にもいない。

1つの銀行に11本のアプリ#

私の使う三菱UFJ銀行は、App StoreにiPhoneアプリを11本出している。どれも機能はひとつで、ログインも共通ではない。業者も契約もアプリごとに違うように見える。オーストラリアのコモンウェルス銀行は、その11本分の機能をひとつのアプリで提供している。アプリは自社開発だ。

みずほ銀行とCOCOAで起きたこと#

同じ構図は、過去の行政処分や調査報告にも現れている。みずほ銀行は2021年2月から9月までに計8回のシステム障害を起こし、金融庁は同年11月に業務改善命令を出した。命令は問題の真因として4点を挙げ、うち3点は「システムに係るリスクと専門性の軽視」「IT現場の実態軽視」「言うべきことを言わない、言われたことだけしかしない姿勢」だった。金融庁は、基幹システムMINORIの安定稼働に必要な人員が配置転換され、保守運用の費用も削られていたこと、そしてこれらの真因が2002年と2011年の大規模障害にも通じていたことを指摘している。^[8]

政府の新型コロナウイルス接触確認アプリCOCOAでは、同じことが委託と再委託の連鎖の中で起きた。厚生労働省は2020年5月、パーソルプロセス＆テクノロジーに開発を委託し、5社への再委託を承認した。同年11月25日、アプリの設計図にあたるソースコードを公開していたサイトGitHubで、外部の人がAndroid版の不具合を指摘した。指摘は12月4日に課題の一覧に登録されたが、そのまま放置された。不具合は2020年9月28日の更新以来続いており、厚労省は4か月にわたって気づかなかった。その間、Android版では接触の通知が届いていなかった。公表は2021年2月3日のことだ。厚労省の調査報告書は、事業者間の役割分担が不明瞭だったことを要因の一つに挙げ、アプリの専門知識が不足していたこともあって「発注者としてプロジェクト全体に目が行き届いていなかった」と認めた。^[9]

その後、デジタル庁と厚労省の連携チームがまとめた総括報告書は、不具合の根本的な原因を「行政側の発注能力やシステム運用体制の課題」とした。次の大規模な改修（アプリが使うAppleとGoogleの仕組みの新版への対応）は、2021年7月からデジタル庁が自ら手がけた。体制はリーダー、iOSエンジニア、Androidエンジニア、品質管理・テスト設計の担当者の4人で、それ以外の保守は委託先が続けた。^[10]

外注していないGMOでも、技術者に発言力はなかった#

GMOの事件は外注の話ではなく、デスクトップクラウドはGMO自身のサービスで、警告もグループ内の会社から出た。^[1] 外注の構造とGMOの事件をつなぐのは、技術者の権限の小ささだ。開発を外注するのが当たり前の国では、自社で製品を作る会社でも技術者が権限を持つことはまれで、経営者はセキュリティの指摘と製品の納期を秤にかける判断力を身につけない。イエラエの報告を受け取った3人の責任者は、それを数ある検討材料のひとつとして扱い、イエラエの側にもそれを押し通す立場はなかった。^[1]

法律で、社長が中身を理解しているかどうかにかかわらず、セキュリティの指摘を一定期間内に取締役会へ上げるよう義務づけることはできる。技術者の給与の低さは、会社が技術上の判断を軽く見ていることの表れだ。給与と権限の両方を引き上げなければ、指摘はこれからも経営に届かない。

出典#

1. ＠IT、「ネットのセキュリティもGMO」の実態 イエラエの事前指摘はなぜ放置されたか：GMO記者会見を読む、2026年11月3日。
2. ITmedia ビジネスオンライン（Yahoo!ニュース配信）、「31年間『もうける』と言ったことはない」GMO熊谷代表、不正アクセスで謝罪も露呈した“組織の壁”、2026年11月2日。
3. 東洋経済オンライン、竹本IT相「はんことデジタル、共栄のため知恵をしぼる」、2019年10月9日。Wikipedia、竹本直一。
4. 日本：厚生労働省「令和6年賃金構造基本統計調査」職種（小分類）別 第1表・第17表（ソフトウェア作成者とシステムコンサルタント・設計者を賃金階級別人数から合算。公認会計士，税理士。その他の経営・金融・保険専門職業従事者。医師）および概況（全労働者の中位数）。オーストラリア：Jobs and Skills Australiaの職業プロファイル（ABS Survey of Employee Earnings and Hours, May 2025）、software and applications programmers、management and organisation analysts、accountants、general practitioners and resident medical officers、other medical practitioners。ABS、Employee Earnings and Hours, May 2025（フルタイム全体の中央値）。米国：BLS、Occupational Employment and Wage Statistics, May 2025, national、職業コード00-0000、15-1252、13-1111、13-2011、29-1210。英国：ONS、Annual Survey of Hours and Earnings 2026 provisional, Table 14.3a（basic pay including other pay）、フルタイム、SOC 2020の2134、2431、2421、2211、2212。ドイツ：連邦統計局、Verdiensterhebung（2025年4月）、表62361-0030（職業別。KldB 2010のエキスパート水準43414、71324、72244、72304、81404、81434）および表62361-0031（全労働者の中央値）。特別給与を除く月額総賃金の中央値、フルタイム。日本とドイツの月額は12倍、オーストラリアと英国の週額は52倍して年額にした。ドイツの数値は賞与などの特別給与を除くが、残業代は区別されていない。日本のソフトウェアエンジニアは、ソフトウェア作成者とシステムコンサルタント・設計者の2区分を人数で重みづけして合算した。ドイツは連邦統計局が大卒程度の仕事に割り当てる「エキスパート」水準を使い、会計士は会計監査人と税理士、医師は専門を持たない医師から外科の専門医までを含む。円換算は欧州中央銀行の参考為替レート（2026年11月3日）による。1米ドル＝158.29円、1豪ドル＝110.55円、1英ポンド＝212.28円、1ユーロ＝176.95円。倍率は換算前に各国の通貨で算出した。
5. 情報処理推進機構、情報処理・通信に携わる人材数の日米比較を追加し、「DX白書2023」印刷書籍版PDFを公開、2023年3月16日。日本は2015年・2020年の国勢調査、米国は2015年・2021年の職業別雇用・賃金統計による。
6. 公正取引委員会、ソフトウェア業の下請取引等に関する実態調査報告書について、2022年6月29日。
7. 厚生労働省、解雇について（労働契約法第16条）。
8. 金融庁、みずほ銀行及びみずほフィナンシャルグループに対する行政処分について、2021年11月26日。
9. 厚生労働省 COCOA不具合調査・再発防止策検討チーム、「COCOA」の不具合の発生経緯の調査と再発防止の検討について、2021年4月。
10. 接触確認アプリCOCOAの運営に関する連携チーム、COCOAの取組に関する総括報告書、2023年2月。
11. 情報処理推進機構、SI事業者における脆弱性関連情報取扱に関する体制と手順整備のためのガイダンス、第1.0版、2005年8月。
12. 情報処理推進機構、「ITシステム・サービスの業務委託契約書見直しに関する調査」調査報告書、2020年3月。