最近、情報漏えいに関する話題を目にする機会が本当に増えました。

企業へのサイバー攻撃、ランサムウェア、ソフトウェアの脆弱性、生成AIへの機密情報入力。

当然ながら、情報セキュリティを考えること自体は非常に重要です。

ただ、こうした話題についてXなどを眺めていると、技術的な話と感情論が混ざり合ってしまっていることが非常に多いように感じます。

その中で、最近特に印象に残った言葉があります。

「私はGoogleを信用していない」

というものです。

これを見たとき、私は少し考えてしまいました。

Googleを信用しない。

では、今の日本でインターネットをどうやって使うのだろう、と。

クラウドに保存することは「情報漏えい」なのか

生成AIについて、

「会社の機密情報をChatGPTなどに入力してはいけない」

という議論があります。

これは理解できます。

企業が利用方法を定めておらず、入力したデータがどのように扱われるのかも確認せずに、顧客名簿や社外秘情報をそのまま投入する。

これは当然、慎重になるべきでしょう。

ところが、そこから議論が進んで、

「だったらGoogle Driveに保存するのも情報漏えいではないか」

という話になることがあります。

私はここにはかなり違和感があります。

Google DriveやMicrosoft 365、Boxなどのクラウドストレージへ、適切な契約、権限管理、認証設定のもとでデータを保存することと、不特定多数に情報を公開することはまったく違います。

にもかかわらず、

「外部企業のサーバーに置いている」
「インターネット上に存在している」

というだけで、

「危険だ」
「信用できない」

という話に変わってしまう。

セキュリティの話なのに、いつの間にか好き嫌いの話になっています。

では、Googleを信用しなければ何が残るのか

Googleを信用しない。

考え方としては自由です。

問題は、それを現在のインターネット社会で本当に実行できるのかということです。

Androidを使えばGoogleです。

ChromeもGoogleです。

GmailもGoogleです。

Google MapsもGoogleです。

YouTubeもGoogleです。

企業によってはGoogle Workspaceを業務基盤として使っています。

iPhoneを使っているからGoogleとは無関係、というわけでもありません。

iPhoneからGoogle Mapsを見る人もいれば、YouTubeを見る人もいる。Gmailを使う人もいるでしょう。

Google検索を使うこともあります。

逆にWindowsを使えばMicrosoftとの関係を完全に断つことも難しい。

企業システムの裏側を見ればAWSが使われているかもしれません。

Webサービスを利用している本人が意識していなくても、そのサービスのインフラがAWS、Azure、Google Cloud上にあることはいくらでもあります。

つまり、

「私はGoogleを信用しない」
「Amazonを信用しない」
「Microsoftを信用しない」

と言って巨大IT企業を一つずつ排除していったら、現代のインターネットで利用できるサービスは猛烈な勢いで減っていきます。

中国のように独自の巨大インターネット経済圏を持つ国であれば別でしょう。

しかし日本には、Google、Apple、Microsoft、Amazonなどを完全に代替する巨大プラットフォーム群はありません。

好きか嫌いかとは関係なく、これが現実です。

いつから民間企業のサービスが「インフラ」になったのか

私はここが非常に興味深いところだと思っています。

YouTubeは、本来ただの動画共有サービスです。

Xも民間企業が運営するSNSです。

Google Mapsも民間企業の商品です。

しかし今ではテレビのニュースで、

「YouTubeで公開しました」
「Xに投稿しました」

という言葉が普通に使われます。

商品名であり、企業名であるにもかかわらず、社会インフラを指す一般名詞に近い使われ方をしています。

それほど生活に入り込んでしまったということです。

インターネットは本来、特定企業だけのものではありません。

ところが、その上で人間が実際に利用する検索、動画、メール、スマートフォンOS、クラウド、認証、地図、広告、SNSといった重要なレイヤーは、巨大IT企業によって支えられています。

特に日本の場合、その多くを米国企業に依存しています。

これを良いと思うか悪いと思うかは別問題です。

現実としてそうなっています。

パスキーをGoogleに預けるのが怖い？

同じ話はパスキーでも起こります。

「パスキーは安全です」

という話をすると、

「でも、そのパスキーはどこに保存されるのですか？」

という話になります。

Google パスワード マネージャーだったり、Appleの仕組みだったり、Windows側の仕組みだったりします。

そこで、

「Googleに預けるのは不安だ」

という話が出てくる。

もちろんハードウェアセキュリティキーなどを利用する方法もあります。

しかし一般利用者全員に物理キーを持たせればいい、というほど現実は単純ではありません。

企業によってはUSBストレージ自体を禁止しています。

端末持ち出しは禁止。

外部デバイスは禁止。

クラウドは禁止。

個人端末は禁止。

こうやってリスクを一つずつ禁止していった結果、今度は業務そのものが非常に不便になります。

セキュリティを高めることと、あらゆる技術を使わないことは同じではありません。

ゼロリスクを求め続ければ、最後に残るのは「何もしない」という選択肢だけです。

「クラウドは危険だからオンプレミス」という単純な話でもない

クラウドが怖いのでオンプレミスに戻せば安全なのか。

当然、そんなこともありません。

オンプレミスであってもインターネットにつながっていれば攻撃対象になります。

VPN装置にも脆弱性は発生します。

OSにも脆弱性は発生します。

ルーターにも脆弱性は発生します。

認証情報が盗まれることもあります。

管理者アカウントが侵害されることもあります。

結局重要なのは、

「クラウドかオンプレミスか」

ではありません。

どのように管理しているのか。

アップデートしているのか。

認証はどうなっているのか。

権限管理は適切なのか。

ログを監視しているのか。

バックアップはあるのか。

インシデントが発生したときに対応できるのか。

そういう話です。

ところが現実のセキュリティ議論では、

「クラウドだから危険」
「海外企業だから不安」
「PHPだから古い」
「WordPressだから危ない」
「生成AIだから怖い」

と、非常にわかりやすいラベルの話に変わりやすい。

私はそこに大きな違和感があります。

脆弱性が出たから、その技術は信用できない？

最近もさまざまなソフトウェアやプログラミング環境で脆弱性の話が出ています。

PHPで脆弱性が見つかった。

Pythonでも問題が出た。

Node.jsでも問題が出た。

すると、

「PHPは危険だ」
「WordPressは信用できない」
「結局何を使えば安全なのか」

という話になります。

しかし、現実にはどんなソフトウェアにも脆弱性は発見されます。

重要なのは、脆弱性が一度も出ないことではありません。

脆弱性が発見されたときに、適切に情報が共有され、修正版が提供され、利用者が速やかに更新できる仕組みになっていることです。

ここを見ずに、

「脆弱性が出た＝その技術は危険」

と考えていたら、使えるソフトウェアはなくなります。

セキュリティチェックが厳しい会社ほど安全とも限らない

私は仕事上、企業のセキュリティチェックシートを見る機会もあります。

非常に細かい質問が並んでいます。

データはどこの国に保存されるのか。

委託先はどこか。

暗号化しているか。

バックアップはどうなっているか。

ログは保管しているか。

もちろん確認すること自体は必要です。

ところが、厳しいセキュリティチェックを通過して利用開始したあと、実際の利用者を見ると驚くことがあります。

簡単なパスワードを設定する。

パスワードを使い回す。

アカウントを共有する。

端末を放置する。

つまり、書類上のセキュリティと現場のセキュリティが一致していない。

私はここに現在のセキュリティ議論の問題が象徴されているように感じます。

チェックシートを埋めること自体が目的になり、本来守りたかったものが何だったのか分からなくなってしまう。

「信用するかどうか」ではなく、「どう使うか」

私はGoogleが絶対に事故を起こさないと言いたいわけではありません。

MicrosoftもAmazonもAppleもOpenAIも同じです。

巨大企業だから事故が起こらないという保証などありません。

だから本来のセキュリティ議論は、

「Googleを信用するか」

ではなく、

「Googleのサービスをどの条件で利用するか」

であるべきだと思います。

どの契約を使うのか。

データはどのように扱われるのか。

アクセス権をどう管理するのか。

二要素認証やパスキーを使うのか。

管理者権限をどう分けるのか。

ログをどう確認するのか。

社員にどこまで利用させるのか。

重要なのはこちらでしょう。

「信用できないから使わない」

だけなら、セキュリティ設計ではありません。

単なる拒否です。

それでも「Googleを信用しない」と言うなら

Googleを信用しないという思想そのものを否定するつもりはありません。

巨大IT企業への依存を問題視する考え方も理解できます。

デジタル主権やデータ主権について議論する価値もあるでしょう。

ただ、個人の日常生活や一般企業のIT利用という現実に戻れば、話は別です。

Googleを完全に排除する。

Microsoftも排除する。

Appleも排除する。

Amazonも排除する。

Metaも排除する。

米国系クラウドも使わない。

海外SaaSも使わない。

それを本当に徹底するのであれば、かなり特殊なIT環境を自分たちで構築し続けなければなりません。

ほとんどの人や企業にとって現実的ではないでしょう。

だから私は、

「Googleを信用するかどうか」

という問い自体が、すでに少し時代と合わなくなっているのではないかと思っています。

信用する。

信用しない。

好き。

嫌い。

そういう感情とは別のところで、Googleをはじめとする巨大IT企業のサービスは、すでに社会基盤の一部になっています。

信用するしかない。だからこそ管理する

これはGoogleを無条件に信頼しよう、という話ではありません。

むしろ逆です。

社会インフラのような存在になってしまったからこそ、

「信用する・しない」

という単純な二択から卒業する必要があるのだと思います。

利用することを前提にリスクを理解する。

設定を確認する。

権限を管理する。

必要以上の情報を渡さない。

認証を強化する。

事故が起きた場合に備える。

私はこれが本来のセキュリティだと思います。

自動車が危険だから乗らない。

飛行機が墜落する可能性があるから乗らない。

銀行が破綻する可能性があるから現金を全部自宅に置く。

そういう考え方では社会は回りません。

技術には必ずリスクがあります。

重要なのは、リスクがあるという事実を理由に技術そのものを拒絶することではなく、そのリスクを理解したうえで利用することです。

Googleを信用しないなら、インターネットを使わない覚悟まで必要になる

少し極端な言い方をすれば、

「Googleを信用しない」

と言うのであれば、

「ではGoogle抜きで現代のインターネットをどこまで使えるのか」

というところまで考える必要があります。

YouTubeを見ながらGoogleを信用しないと言う。

Chromeを使いながらGoogleを信用しないと言う。

Gmailを使いながらGoogleを信用しないと言う。

Google Mapsで目的地を探しながらGoogleを信用しないと言う。

Androidスマートフォンを持ちながらGoogleを信用しないと言う。

それでは、少し話がおかしくなります。

もちろん、Googleへの依存度を減らすことはできます。

代替サービスを選択することもできます。

しかし完全に切り離すとなれば、話はまったく違ってきます。

日本はすでに、Google、Microsoft、Apple、Amazonなど米国の巨大IT企業が作ったデジタル基盤の上で社会活動をしています。

これは好き嫌いの話ではありません。

良い悪いの話でもありません。

現時点での事実です。

だから私は、

「Googleを信用するのか？」

と聞かれたら、こう答えると思います。

信用するしかないでしょう、と。

ただし、信用することと丸投げすることは違う。

そこを管理するのが、本来の情報セキュリティなのではないでしょうか。