ITmedia エグゼクティブセミナーリポート

経営と現場の板挟みになりがちなガバナンス、優先してやるべきことを明確に――リクルート 鴨志田昭輝氏（1/2 ページ）

　リクルート社内のセキュリティ組織を立ち上げ、「なるべくガバナンスをしない」を旗印にセキュリティインシデント対応に当たってきたのが、同社セキュリティ統括室長を務める鴨志田昭輝氏だ。その同氏が今度は「ガバナンス担当」を命じられ、もがきながらも前進している。

　ITmedia エグゼクティブセキュリティセミナー 2023春の基調講演において、「ビジネスやワークスタイルの変革に、セキュリティガバナンスはどう向き合うのか？」と題し、その取り組みについて話した。

「なるべくガバナンスをしない」を旗印に成果を上げてきたRecruit-CSIRT

　「ユーザーとクライアントをマッチングする」というビジネスを核に、「SUUMO」「じゃらん」「ホットペッパービューティー」「Airレジ」といった多数のブランドでサービスを展開するリクルート。今や従業員数はグループ全体で5万人を超えている。

　その同社で、一人CSIRTからスタートして「Recruit-CSIRT」を立ち上げ、育ててきたのが鴨志田氏だ。もともとはセキュリティベンダーでさまざまなプロジェクトに携わっていたが、「あるべきセキュリティと自社の利益とがなかなか一致しないこともあり、プロフェッショナルとして正しいセキュリティを実現するためにユーザー企業に転身した。

　少しずつRecruit-CSIRTに仲間を集め、2018年には「サイバーセキュリティに関する総務大臣奨励賞」を受賞するほどうまくいった理由は、「セキュリティのスペシャリストが、ユーザー企業で幸せになることを重視して組織作りをしてきたから」だと鴨志田氏は述べた。

　「幸せ」とは具体的には活躍と成長のことで、さまざまなキャリアを持った人たちがリクルートに来て、活躍し、成長できるような組織を作りたいと言い続けたことでさまざまな人が集まってくれて、表彰されるようなCSIRTを作ることができた。

　ただ、話はそこで終わらない。2019年10月、同氏は新たに「セキュリティガバナンスを担当せよ」との辞令を受けた。

　実は鴨志田氏はCSIRT作りを進める中で「なるべくガバナンスをしない」ことを旗印に掲げていたという。上意下達的な関係ではなく、現場との信頼関係を重視していたからだ。「CSIRTでは、『こちらの指示に従え』といったガバナンスではなく、現場と対等な関係で一緒に頑張っていくことで成果を出し、感謝されることを大事にしていました」（鴨志田氏） にもかかわらずセキュリティガバナンスというミッションを担うことになり、引き受けるからには、やはり「セキュリティとして正しいことができるガバナンスを目指したい」と考え、取り組んでいる。

経営と現場の板挟みになりがちなガバナンス、優先してやるべきことと後回しにすることを明確に

　「多くの組織においてセキュリティは“総論賛成、各論反対”になりがちです。セキュリティを強化するんだ、という大方針に対しては皆さん賛成します。今や“セキュリティのことなんて知ったこっちゃない”という経営者やマネージャーはほとんどいませんが、にもかかわらず、具体的な施策に落ちてくるといろいろな反対意見が飛び出てきます。（鴨志田氏）

　この結果セキュリティ部門は、経営陣のセキュリティ強化に対する期待と現場とのギャップの間で板挟みになってしまいがちだ。これは、ある意味「宿命的」なものかもしれない。

　リクルートの場合も同様で、ガバナンス強化に向かう背景には、それまで子会社であった主要な中核事業会社・機能会社をリクルートに統合し、ガバナンスおよびマネジメントを強化することで、次の10年を担う事業の育成を強化するという経営層の方針があった。経営層はすでに「個人情報保護やサイバーセキュリティを含めたリスクマネジメントが非常に重要」といったメッセージを発し、ガバナンス強化に舵を切っている。

　一方現場はどうかというと、コロナ禍の影響でさまざまな変化に直面した。社員の働き方が変わり、テレワーク環境への移行が進んだこともあるが、より大きかったのはカスタマーへの影響の方だ。例えば飲食店はコロナの影響を踏まえ、売り上げが減少しても利益を出せるよう、バックエンド業務のシンプル化などに取り組み始めている。リクルートとしても、それまで事業の柱としていたマッチングプラットフォームだけでなく、予約管理や決済といったさまざまなソリューションを強化し、こうしたニーズに応えようとしている。

　「端的に言うと、経営からはガバナンスを強化せよと言われます。一方現場ではビジネスが非常に多様化し、どんどん新たなソリューションビジネスが出てきており、カスタマーの大切な情報を預かることも増えています。この結果ギャップがさらに拡大し、セキュリティがますますやりにくくなるという構造が、セキュリティ統括室長を拝命した2019年の時点で見えていました」（鴨志田氏）

　この向かい風の中で一番に重視したのは「経営への説明責任をきっちり果たす」ことだった。それも、「ちゃんとやっていること」を伝えるというよりも、優先順位を明確にして対策にメリハリを付け、期待値を経営とそろえることを重視したという。

　なぜなら企業のリソースは有限であり、あれもこれもとやっていてはとても間に合わない。そこで、優先してやるべきことと後回しにすることを整理し、優先順位を付けて経営に説明できる状態を整えることにまず取り組んだ。

　「セキュリティというものは、さまざまな脅威や問題が起こる中でどんどん手厚くしようとして施策が増え続ける傾向にあります。そこで、費用対効果の低い施策をやめ、取れるリスクは取り、減らせる施策をいかに減らしていくかの活動に、今、力を入れています。やらないことを明確にし、その分を新たに必要なことに投資していきます 」（鴨志田氏）

　もう1つは事業との接点だ。数百というオーダーでさまざまなサービスが展開され、開発体制もばらばら、それぞれ個別最適化されている中でセキュリティ対策を効果的に進めていくために、社内の組織として各事業との接点となるセキュリティ推進組織（1.5線）を設けることにした。

ITmedia エグゼクティブセミナーリポート

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  セキュリティ担当者が夜しっかり眠れる運用体制とは？――守りのDXで攻めのDXを支えるアステラス製薬の取り組み

• 

  独自の観測結果から見えてきたランサムの今と、対策のポイント――SBテクノロジー 辻伸弘氏

• 

  脅威環境の変化を把握し、網羅的・体系的なアセスメントを通じて自社の弱点を発見・改善していくサイバーセキュリティリスク管理が重要――東京海上日動火災保険 黒山康治氏

• 

  ハイブリッド戦争は日本にとっても他人ごとではない――慶應義塾大学 廣瀬陽子教授

• 

  「今日からセキュリティ担当、よろしくね」と言われたら、何から始める？　何を重視する？――freee CISO 茂岩祐樹氏

• 

  コロナ禍やウクライナ侵攻を背景に混迷深めるサイバー情勢、経営層に必要なのは「現場丸投げ」からの脱却――サイバーディフェンス研究所 名和利男氏

• 

  ウイズコロナ時代のサイバーセキュリティ、完璧を目指すより実践的で高い費用対効果を追求すべき――情報通信研究機構 伊東寛氏

• 

  「損害保険×ソリューション」の提供で、効率的かつ効果的なサイバーリスク対策を実現――東京海上日動火災保険 教学大介氏

• 

  増え続けるサイバー犯罪、「完璧」ではなく「現時点最強」で致命傷を避ける備えを――圓窓 澤円氏

• 

  変化に必要なのはインプットとアウトプットで「いま」という時代をちゃんと知ること――Armoris 取締役専務 CTO 鎌田敬介氏

• 

  サイバー攻撃から組織を守るために不可欠な3つのチカラとは――SBテクノロジー プリンシパルセキュリティリサーチャー 辻伸弘氏

• 

  重要インフラ行動計画、環境の変化を考慮して継続的に改定していくことが重要――NISC 結城則尚氏

• 

  情報セキュリティ委員会、CSIRT、SOCがワンチームで対応するのが情報セキュリティの肝――ラック、ダイドーグループHD 喜多羅滋夫氏

• 

  攻めのサイバーセキュリティでDXをけん引し、全てのステークホルダーに価値を提供――竹中工務店 高橋均氏

• 

  DXを支えるサイバーセキュリティ新常態を新型コロナウイルス対策から学ぶ――ラック西本逸郎社長

• 

  デジタルによる業務の生産性向上とセキュリティ強化の両立がゼロトラスト最大の目的――NRIセキュアテクノロジーズ 鳥越真理子氏

• 

  ゼロトラストで目指すのは、快適に、安心して、楽しく働ける職場を支えるIT基盤――日清食品グループの挑戦