サイレントなチームは負ける ── 守備の崩壊とセキュリティの共通点

明日は、日本のワールドカップ第二戦だ。久保建英が左膝の負傷で出場は難しいらしい。残念だが、チームには頑張ってほしい。

そこで思い出したのが、初戦のオランダ戦だった。日本は粘り強く、1点ビハインドを二度も追いついた。勝ち切るチャンスもあった一戦だ。だが最後の最後、相手にコーナーキックを与えてしまう。ここで決められれば、敗戦は濃厚だった。

そんなとき、解説の本田圭佑が守る選手たちに向かって繰り返し叫んでいた。しゃべれ、しゃべれ、と。

最初は何気なく聞いていたが、これは現場を引っ張ってきた人間にしか言えない言葉だと思った。守備が崩れるとき、チームは決まって静かになる。視野が狭くなり、選手はそれぞれ目の前のボールだけを見て、声が消える。「今こうなっている」を共有しなくなる。情報の流れが止まった瞬間に、組織は失点する。

これは、システムを守る現場でもまったく同じことが起きている。

「黙っていること」が効率に見える時代

近年の自動化は、どれも「静かであること」を価値として売っている。

AIコーディングの普及で、開発者は自分が何のオープンソースを取り込んでいるか把握しないままビルドを進める。攻撃者はその更新経路にマルウェアを仕込み、ベストプラクティスどおり最新版に更新した組織にこそ被害が届く。Shai-Hulud はその典型だった。引き込んだものが、黙っている。

運用の現場では、RPA が同じことをしている。RPA は「人間ひとつの操作」をそのまま機械に置き換える発想で、考えやすく、導入もしやすい。ボタンをタイマーで押す、画面を順番に叩く。普通の業務フローに組み込むなら悪くない。だが RPA は、正しい操作と危険な操作を区別しない。もし削除ボタンを押す手順が、誰かの意図で、あるいは乗っ取られた経路で回り始めたら、RPA は疑わずに高速で実行し続ける。人間なら「これ、全部消えるが大丈夫か」と手が止まる瞬間が、そこには無い。

脆弱性の自動修復も、「開発者の負担を消し、裏側で静かに直す」ことを売りにする考え方が出てきた。発想としては理解できる。だが、古く、密に結合し、誰も依存関係の全体像を把握していないシステムほど、裏で勝手に直されることが一番こわい。一行のパッチが何を壊すか読めないからだ。

コードでも、運用でも、私たちは「人間の判断を抜いた自動化」を進めている。そして攻撃者から見れば、判断の抜けた自動処理ほど狙いやすいものはない。正規の操作として、静かに、アラートも上げずに通っていく。

ニュースにならない時間にこそ、守りがある

派手な得点は、何度でもニュースになる。だが、リードや引き分けを守り切った数分間を、誰も記事にはしない。何も起きなかったからだ。

セキュリティも同じだ。攻撃を未然に止めた日、何事もなく終わった運用は、誰にも褒められない。だがその「何も起きなかった」を支えているのは、声を上げ続けた守備側にほかならない。表に出ないこの時間こそ、勝敗を分けている。

強い守備は、声を出し続けている

崩れるチームが静かになるのなら、強いチームの条件は逆だ。声を出し続けていること。

「今ここが空いている」「裏を取られた」「寄せろ」。意識して、止まらずに声を上げ続ける。守備とは、ボールを奪う技術である前に、状況を共有し続ける営みなのだと思う。ピンチの場面での「しゃべれ」は、その本質を一言で突いていた。

セキュリティも同じだ。本当に必要なのは、すべてを裏で黙って直す仕組みではなく、「どの層で、今、何が起きているか」を声にする設計だ。何を取り込んだのか。どのコードが実際に使われているのか。この操作は誰が、なぜ実行しているのか。それを可視化し、止めるべき層で止め、人間が見るべきものを人間に届ける。

自動化そのものを否定したいわけではない。問題は、自動化が「静かであること」を最優先にした瞬間に、誰も異常に気づけなくなることだ。効率の名のもとに、現場を黙らせてはいけない。

ピンチのときこそ、しゃべれ。サッカーの解説席から聞こえてきたその言葉は、私たちの現場にもそのまま当てはまる。