公表だけで描いた「被害の地図」
— AIと作った公表アトラス

この秋、ほとんど毎日のように、どこかの組織が情報漏えいやサイバー攻撃の被害を公表している。ひとつの委託先が攻撃されると、その先にある何十もの組織が、それぞれのお知らせのページで同じ事故を公表する。

一つひとつは小さなお知らせだ。しかし並べてみると、被害がどれほど身近に起きているかが、はっきり見えてくる。それを形にしたのが「公表アトラス」だ。

https://masamune.ai/incident/

shield「責める」ためではなく、「備える」ために

最初に決めたのは、何をしないかだった。

• 特定の組織を責めない。順位もつけない。件数の多い少ないは、被害の重さや対策の良し悪しを表さない。
• 報道やまとめではなく、組織自身が公表したページだけを出典にする。
• 公表文に書かれていないことは書かない。わからないことは「不明」と書く。

被害に遭った組織は、加害者ではない。公表したこと自体が、利用者や取引先への誠実な行動だ。だからこの地図は、誰かを晒すためのものではない。「自分のところにも起きうる」と知ってもらい、備えにつなげるためのものだ。

schedule件数だけでは見えないもの

もう一つこだわったのが、「判明から公表までの日数」だ。

件数は、それだけで目を引く。しかし本当に大事なのは、被害が分かってから、利用者が知るまでにどれだけ時間がかかったかではないか。公表文に判明日が書かれている事案では、その日数を立体図の高さとして見られるようにした。これも評価ではない。どこで時間がかかるのかを、社会全体で考える材料にしたい。

fact_check作るAIと、確かめるAIを分ける

この地図は、私とAIで作った。ただし、AIに任せきりにはしていない。

• 公表を見つけ、ページを保存し、内容を読み取るAI。
• それとは別のAIが、作った側の手順を知らされないまま、公式ページを自分で読み直して、間違いや言い過ぎを探す。
• 最後に、人が一件ずつ承認して初めて公開する。

実際、確かめる側のAIは、続報の取りこぼしや、日付の取り方のずれを見つけてくれた。直した内容は、版として履歴に残している。

AI駆動経営で一番大切なのは、AIの答えを信じることではなく、AIの答えを確かめる仕組みを先に作ることだと思う。作る役と確かめる役を分ける。これは人の組織でも同じだ。

database25年、データを扱ってきた会社として

ブレイバーは、データ消去とデータ復旧の現場に25年いる。データは「持たない」「消すべきときに確実に消す」「失っても戻せるようにしておく」。その大切さを、毎日のように見てきた。

公表アトラスは、その経験を、社会に返すための一つの形だ。まだ試験版で、名前も変わるかもしれない。それでも、確かめられた範囲を早く共有することが、誰かの備えにつながると信じて公開した。

よくある質問

公表アトラスとは何ですか？

国内の組織が自ら公表した情報漏えい・サイバー事案を、組織の公表ページだけを出典に整理し、立体図・日本地図・時系列で見られるようにしたウェブサイトです。試験版として https://masamune.ai/incident/ で公開しています。

特定の組織を評価・批判するものですか？

いいえ。順位づけや評価はしません。件数の多い少ないは、被害の大きさや対策の良し悪しを表しません。被害が身近に起きていることを知り、備えにつなげることが目的です。

AIで作った情報は正しいのですか？

作るAIとは別のAIが、公式ページを自分で読み直して誤りや言い過ぎを探し、最後に人が一件ずつ承認してから公開しています。誤りが見つかれば訂正し、版として履歴に残します。