リスク管理の必要性浮き彫りに

　4月23日、セキュリティソフト大手のトレンドマイクロが、自社ソフトの不具合が原因で大規模なシステム障害を引き起こした。ウイルス対策に不可欠なパターンファイルのテストが不十分であったことから、「ウイルスバスター」を利用していたユーザーのコンピュータが動作しなくなるといった事態を引き起こした。

　問題となったパターンファイルを配布した時間はわずか90分。それでも、約17万件のダウンロードがあり、サポートセンターに問い合わせがあった件数は、「通常時に比べ、コンシューマからは約10倍、法人からは2─3倍」（大三川彰彦・執行役員日本代表）に膨れ上がった。トレンドマイクロに報告があった企業からの被害件数は650社以上にものぼる。

　パターンファイルの配布は土曜日。平日だったら被害はさらに深刻になっただろう。トレンドマイクロの迅速な対応で、事態は3日間でほぼ収束したという。それでも同社が受けた損失は大きい。「顧客や取引先への復旧対応費用として約3億円を投じる」（マヘンドラ・ネギCFO）ことになった。何より、顧客や取引先からの信用失墜は避けられないだろう。

　普段、米国で指揮を執るエバ・チェン社長兼CEOは、急遽来日し謝罪会見を開いた。「信頼回復のために品質の向上に努める。もう一度チャンスが欲しい」と、深々と頭を下げた。

　トレンドマイクロが起こした今回のようなケースは、ソフトメーカーならば自社でも起こり得ることを改めて認識しなければならないだろう。

　パターンファイルを配布するというセキュリティソフトの特性は、他ジャンルのソフトにはない。だが、バグ（ソフトのプログラム上の不具合）はどのジャンルのソフトにもある。そのバグが原因で、情報システム全体に悪影響を与える可能性もないわけではない。

　トレンドマイクロは、パターンファイルの不具合を認識してから約2時間後に、問題を修正した新たなパターンファイルを配布。約5時間後には緊急対応窓口として24時間のフリーダイヤルを開設し、10時間半後には修復ツールの提供も開始している。問題発生から2日後には、品質向上のための施策や新たな危機管理体制の方針を固めた。

　ソフトメーカーは、自社ソフトの不具合が原因でトラブルが起きた場合、顧客やパートナーに対する迅速な情報提供体制と、復旧対応などを前もって用意しておく必要があるのは言うまでもない。特に間接販売が主体のソフトメーカーは、顧客と接しているのはパートナーだけに、その対応は重要だ。実際、今回のトラブルで被害を受けた法人企業約650社のうち537社はパートナーに問い合わせたという。PL（製造物責任）からは遠い存在のソフトでも、顧客やパートナーから損害賠償を請求された場合の対応策を用意しておく必要があるだろう。共同開発製品や他社製ソフトと連携している場合は、複数の企業間でリスク管理体制を構築する必要も出てくる。万一の不具合でトラブルが起きた場合には、さまざまな施策を打つ必要があるのだ。

　あるセキュリティソフトメーカー社長は今回の事態に関してこう話す。「情報システムが社会インフラとなりつつあるなか、バグを少なからず抱えているソフトという製品を提供している怖さを、トレンドマイクロは改めて教えてくれた。メーカーとして、危機管理体制を見直す良いきっかけとなった」

　トレンドマイクロの今回の失敗を教訓に、ソフトメーカー各社はリスク管理体制を再度確認する必要があるだろう。(木村剛士●取材／文)