セキュアスカイ・チームインタビューVol.01：システム＆セキュリティグループ

Vol.01は、社内で活用するシステムの選定や導入、セキュリティ対策の策定と実行などを担当するセキュアスカイの情報システム部門「システム＆セキュリティグループ」。部署創設以来、ほぼ「兼任メンバーのみ」で構成され、現在の6人のメンバーもすべて社内の他の業務を兼任しています。その理由とは…？

【システム＆セキュリティグループとは】
セキュリティ企業として誇れるような「社内セキュリティ」の実現を目指すチームです。
また、セキュアスカイメンバーがプロフェッショナルとしての力を最大限発揮できるように、安定した業務継続のサポートや社内システムの強化などを行う役割も担っています。

【インタビュイープロフィール】
取締役CISO：新井幹也
某大手セキュリティ会社にてビル監視システムの開発・運用などに従事。その後、同社にてWebアプリケーション脆弱性を中心としたネットワークセキュリティの研究業務を経たのち、2006年株式会社セキュアスカイ・テクノロジーの設立に参画。同社にて、2017年1月より取締役CISOに就任。

システム＆セキュリティグループ（法務兼任）：西村敦隆
大手SIerにてインフラエンジニア、プロジェクトマネージャーとして顧客システムの構築に従事。2016年にセキュアスカイ・テクノロジーのシステム専任メンバーとして参画。

 

兼任のメリットは、“社内との接点が増える”こと

現在のお二人の業務内容について教えてください

西村：社員が使うPCのセットアップや、故障時の対応・サポート、ツールの導入や操作のフォローなどの社員向けユーザーサポート的な役割が大体半分ぐらい。残りの半分ぐらいでセキュリティ対策や、新たに導入するツールやシステムの選定などを担当しています。

 

新井：私は社内全体のセキュリティ対策に軸足をシフトしています。対策の方向付けを考えるとともに、セキュアスカイメンバーの一員として自分自身で手を動かして実務を担ったりもしています。

 

現在のシステム＆セキュリティグループは、どのようなメンバーで構成されているのでしょうか

西村：CISO（最高情報セキュリティ責任者）の新井さんと私、稲葉さん、CTOの長谷川さん、山口さん、早坂さんの6人です。私は法務担当を兼任し、他のメンバーもWAF事業やEASMサービスの「Dredger」、セキュリティコンサルティングなど、別の業務を受け持ちながらシステム＆セキュリティグループの業務も担当しています。

 

新井：私は2006年より創業メンバーとして、起業時からサービス事業の技術者をメインとしてやっていましたが、同時に社内システム周りも担当していました。その流れで私は現在もシステム＆セキュリティグループにいます。最初は多分「システムチーム」と呼んでいたかな。当時から兼任のメンバーばかりで成り立っていたチームで、それが今も踏襲されている状態です。一時、西村さんが入社した時は情シス専任者として担当してもらっていましたが。

 

西村：そうでしたね。創業10年目ごろに、初めての情シス専任スタッフとして私が入社しました。私の高専時代からの友人だった、CTOの長谷川さんに声を掛けてもらい、新井さんや代表の大木さんともフィーリングが合って入社したのが経緯です。

 

新井：焼肉屋さんでご飯を食べて、満場一致で「いいんじゃない」となって、面談らしい面談をしないで採用しましたね。今の会社の規模だと、もうこんなやり方はなかなか厳しいかもしれませんけど（笑）。

 

西村：前職はIT分野ではあったものの、客先に提案をする仕事で、情シスをメインでやったことはなかったんです。当時のセキュアスカイはこれから可能性を広げていく会社だし、成長する会社を陰で支える情シスの役割には興味があったので、自分にとっても、会社にとっても合うかなと思って入社しました。

 

システム＆セキュリティグループを兼任するメンバーはどのように決まるのでしょうか？

西村：セキュアスカイはセキュリティのプロ集団ですが、セキュリティ以外の分野でもプロレベルの人が集まっています。今のセキュアスカイのシステム＆セキュリティグループに必要だと感じた分野の人が自然とメンバーになったり、今まで兼任で担ってもらっていたけど、ちょっと本職に専念してもらうために今は兼任を外れたりとかも含め、メンバーの変遷もけっこうありました。グループメンバーは6人で固定ということもなくて、今後も変化しながら、状況に合わせて変わっていくと思っています。

 

新井：システム＆セキュリティグループから“卒業”されても、専任となった部署とシステムグループとの間をつなぐ役割を担いながら、さらに活躍されていますね。専任者がやることによって集中的に業務ができるというメリットはありますが、兼任によって会社全体のあちこちに情シス業務を担当している者がいれば、会社の状況をある意味で広く知れる状況にもなりますよね。この、兼任によるメリットが大きいと思っているところはありますね。

 

西村：2023年から加入したメンバーは「やりたい」と自ら言って手を挙げてくれて来てくれたんです。自身で課題を見つけて、それを何とかするために、プロとして手を挙げてくれる姿勢に心強さを感じました。

 

システム＆セキュリティグループ全体の意思決定はどのように進められているのでしょうか

新井：上意下達はほぼないですね。何をやるにしても、まずお互いの課題認識の共有から始まります。みんなそれぞれに得意分野を持っているので、課題をいったんテーブルに乗せる形で議論しながら、「誰々はこれ得意そうだね」とか「業務負担が増えすぎるから誰々に新たな仕事を振るのは抑えよう」、「今は増えても大丈夫そうなので受け持ってもらおう」みたいなジャッジは、合議制に近い形でやっています。そういう意味では、私自身も得手不得手のあるグループメンバーの一員でしかなく、むしろ頼れる仲間が自ら引き受けてやってくれている感が強いですね。

 

 

「独りよがり」を脱却し、サービス開発を企図したガイドライン導入

社内のセキュリティ対策について、準拠するガイドラインなどはあるのでしょうか？

新井：国内外の団体等が公表したさまざまなガイドラインがある中、セキュアスカイではセキュリティガイドラインとして、CIS Controlsを参照しています。これは数ある中から勝ち抜いたものを選んだというより、客観性を担保するためという意味合いが強いです。独自でイチから作ることもありましたが、それには独りよがりになっていないかという自己検証が欠かせません。

我々のやり方の中で、セキュリティ会社ならではの独自性を生かしているところもあれば、足りていないところもあると思うので、ガイドラインに照らし合わせて客観的な視点でもう1度考え直そうとしたのが、一つのきっかけです。CIS Controlsを参照することで、ガイドラインとしての妥当性も改めて感じられましたし、また我々自身の不足している点も十分認識できました。

 

西村：セキュリティ対策として社内で実装したことを、社内のセキュリティ向上だけでなく、コンサルティングやセキュリティ製品といったサービスにも活用するというコンセプトがシステム＆セキュリティグループの方針となったのは、去年のキックオフの時でした。CTOの長谷川さんや代表の大木さんから提示されて、それはもっともだと共感できたし、可能なかぎりそうやっていきたいと考えました。

お客さんのところへ持っていくとなると、世の中の一般的なガイドラインに沿っていた方が説明もしやすいですし、またガイドラインをよりどころとするだけでなく、実務や実効性とのバランスをどう保つかが肝心です。セキュリティ会社のバランス感覚は、コンサルティングでも活用できるだろうと感じています。特に、クライアントと直接話をされる長谷川さんあたりは、その課題を強く感じているのでしょうね。

 

新井：皆さん、セキュリティのお困りごとがある中で、外側から見ると「セキュリティ会社がやっているセキュリティ対策」は気になると思うんですよね。求めている正解があるんじゃないかって。正直なところ、我々自身も正解を模索しながらやっているところです。その侃々諤々の議論の中で出てくることや議論そのもの自体が、外部にとっては参考になるものかもしれないので、我々自身が議論しながら検討していく過程そのものをノウハウのような形で、活用したいと思っています。

 

報告が改善につながる文化が、セキュリティ向上に役立つ

社内のセキュリティ意識向上について、どのような取り組みをされていますか

西村 ：セキュリティ教育って、上から「やろう」と言い続けても、結局、効果がないと思うんですよね。そもそもセキュアスカイのメンバーはみんなセキュリティのプロですから、自然と意識できるような環境作りを心がけています。

私がセキュアスカイに入社して以来、いつも念頭に置いているのは「誰かがやったことは、他の誰かがやるかもしれない」という意識です。そこで、「失敗やエラーを事例として情報化し、共有することで二次被害を防いだり、同様の失敗を防ぐ」という手段を執っています。アラート対応は全員で見るようにしたり、公開が適切と確認した事例をSlackや全体会議で共有したりするのはその一環です。

 

新井：ミスをしてしまったと伝える瞬間は、もしかしたら躊躇するかもしれないけれど、そこから本人にとっても会社にとってもプラスにつながるようなところまでやりきることで、失敗報告がこんな改善につながったと実感できれば、可視化の大切さが社内に浸透していくのかなと思っています。

 

西村：正直に言ってもセキュリティ担当から怒られるとか、厳しい一辺倒になっちゃうと隠す方向に行っちゃいかねないですよね。もちろん、伝えるべき場面ではきっちり伝えることも大事なんですけど、セキュリティのプロの会社だから、隠すよりも相談することで無事に解決するという方向になっていきたいという思いはベースとしてありますね。

 

新井：他の社員からも「西村さん自身が、相談しやすい雰囲気を作ってくれている」と言われたことがありますよね。小さなことでも「相談してくれてありがとう」とコミュニケーションを取ってくれる気質によるところが大きいと思います。まさしく、西村さんがセキュアスカイに持ち込んでくれた文化かなと感じています。

 

 

セキュリティの専門知識を有する経営陣とのコミュニケーション

情シスでよくあると言われる、経営層とのコミュニケーションでの困りごとはありますか？

西村：当然なんですけど、セキュアスカイにはセキュリティの知識がない経営者はいません。また経営陣とは毎週のようにやっている定例会議の場で顔を合わせるので、日ごろ、私たちが何をしているかも分かっているし、会社がどういう状況だというのももちろん分かったうえでさまざまな話ができています。だから、世の中で言われる「経営者が理解してくれない」という話に遭遇することはまずなくて。新しいものを入れるという話をした時に理解してくれますね。経営者が理解できるようにこちらが持っていくというのも、もちろんなんですが、そもそも対等に話せる場が常にあります。そこが大きいと思うんですよね。

 

新井：逆に、セキュリティの知識を経営陣も持っている分、「入れるなら、ちゃんと入れろよ」とか「ここは大丈夫か」みたいな指摘がすぐに入る。そこは、甘い見識ではダメだよっていう、セキュアスカイならではの厳しさかもしれないですね。

 

西村：入社してから、いろんなものを導入していますけど、大木さんを含め、経営陣から理解が得られなくて困ったみたいなのは、本当にないんですよね。もちろん全部にOKが出ているわけでもなく、会社としてトータルで考えて「これは今のセキュアスカイには必要ある・ない」という判断をシステム＆セキュリティグループも納得の上でしているという印象が強いです。

 

新井： 逆に言うと、我々は楽をしているのかもしれないですね（笑）。もうこれいるって分かっているんだから、「いるじゃん」「いるよね、うん」みたいなコミュニケーション粒度で通じるのは。

 

企業の成長と「自由な空気」を支える自負

システム＆セキュリティグループの仕事の醍醐味について教えてください

西村：日ごろから感謝してもらえることはもちろんありがたいですよね。会社の売り上げが上がるのも「私のおかげだ」と思えるのも醍醐味かな。売り上げのことも含めて会社全体が盛り上がるのは、支えているシステム＆セキュリティグループがいるからだと勝手に思っている。実際どの程度貢献したか、定量的な判定は難しいと思いますが、定性的な見方で全然いいと思っているところはあります。

 

新井：醍醐味ですか……。システム＆セキュリティグループでの役割に限った話ではなくてもいいですか？　創業からずっと関わってきている中とか、自分の人生の中でみたいな、壮大なメッセージになっちゃうかもしれないですけど。こんな機会を持てていることとか、やりがいのある状態に居られることそのものが、ある意味達成感であり醍醐味。

でも、まだまだ達成はしたとはいえなくて、プロセスの途中ですけれども、この状態に居られること、このチャレンジができていることそのものに感謝しています。達成感を得られるフェーズがまだまだこれからもたくさんあるだろうしって思うと、楽しみだと同時にまだまだ全然これからだなって思います。

 

お二人から見た、システム＆セキュリティグループや会社の特徴を教えてください

 

 

西村：一言で言うと「自由だけど、ただし自己責任が伴う」かな。世の中には会社がルールをガチガチに決めて「こうしなさい」と言われた方が楽な人もいると思うんです。でも、セキュアスカイは多分そういうスタンスじゃないから、自分のやること、選ぶこと、あらゆるものに対して自分で考えないといけない。システム＆セキュリティグループも会社全体も、そこは共通していますね。

現在のセキュアスカイには、自分のことを自分で決めるのが好きな人が、そろっているので、会社全体の文化の醸成にもなっているのかな。そういうところがいいところだって思う人が集まる集団になっているという、ことなんだと思います。

 

新井： いろいろな制度も含めて、選択肢を多く出せているところかなと思っています。生活のスタイルが変化していて、時間的な観念、働く場所の観念も変わりつつある中で、各自が自分に合った形を選べるようにしている。選ぶ側も自分だけのためにというよりは、グループの状況も含めて、こういう状態だから、こういう選択をするように、という判断もできる。そんな状況を実現できている点が、グループのいいところなのかな。選ぶ自由のトレードオフとして高い自主性を求められるはずで、会社としても社員を信頼しているから寛容さを持っていられるのが、今のセキュアスカイの特徴と言えるのかもです。