「セキュリティは事業を活かす出汁、責任者はCIMOで目指せ」 - JTB 椎野氏（2/2 ページ）

セキュリティは日本料理の「出汁」 - 事業に賛同し、徳を積む

――セキュリティ責任者としてのご自身の役割を、あえて一言で表すとどうなりますか。

椎野氏：　「空気」だとなくなったら死んでしまうので、日本料理の「出汁」みたいな存在かな、と思っています。

　私たちのCSIRTは、いわば「合わせ出汁」です。かつお節も昆布だしもあって、リーダーは料理に応じてそれをブレンドしていく。出汁は決して主役ではありません。主役のメインディッシュは事業です。出汁がまったくなくても食べられるかもしれませんが、何かが足りない。目立たないけれど、常にいて味が整う。そういう存在でありたいですね。

――CSIRTのチーム構成自体にも、そうした事業一体の哲学が反映されているとお聞きしました。

椎野氏：　はい。CSIRTのなかでセキュリティを専門にしているメンバーは、実は約3分の1だけです。残りのメンバーは、店頭営業、法人営業、オンライン販売、アプリケーション開発などの出身者で構成されています。

　彼らはセキュリティのプロではありませんが、それぞれの分野のプロです。セキュリティの専門性だけを突き詰めたいのなら、ITベンダーにお願いすればよい。事業会社においては、自分たちの業務や現場のビジネスモデルを分かっている人が中にいることが何より重要です。お互いの得意分野を教え合いながら、事業と一体となって守る体制を作っています。

――そうやって事業に寄り添うために、椎野さん自身は社内でどう動いているのでしょうか。

椎野氏：　事業という「食材」の良さを知るためには、常にいろいろな場所にいなければなりません。私はシステムに限らず、会社のあらゆる活動になるべく賛同し、自ら突っ込んでいきます。法務担当者向けのセミナーに登壇したり、ダイバーシティ推進の活動に参加したり。人事のパパ育休制度も、率先垂範で3回取得しました。

　チームのメンバーにも「必ずどこかに顔を出して徳を積んでこい」と伝えています。社内のアンケートには5段階評価だけでなく必ずコメントを添える。集める側からすると、コメントがあるとうれしいし、記憶に残りますよね。日々の業務のなかで忘れられないようにすることを積み重ねれば、いざ新しいプロジェクトが立ち上がるときに、自然と声がかかるようになるんです。

グローバル標準としてのセキュリティ、BCPの再設計、AIのガードレール

――いま特に力を入れている実務上の課題は何でしょうか。

椎野氏：　ひとつはBCPの再定義です。多くの企業のBCPは2011年の東日本大震災を契機に作られましたが、震災とサイバー攻撃では決定的な違いがあります。

震災のBCPは社会全体が止まる前提ですが、サイバーのBCPは自社だけが止まる。周りが平時のなか、お客さまが予約やチェックインができなければ、他社に流れてしまいます。周囲が動いているなかで自社だけが止まる状況に対し、どこまで投資して復旧するか。そのプランを改めて見つめ直しています。

　また、AIへの対応も急務です。仮想組織として「AI CoE（Center of Excellence）」を作り、どうルールメイクし、どんなガードレールを作るかを検討しています。AIはどんどん進化していくので、長いスパンではなく、なるべく早く変化に対応してルールを変えていく。プロンプトの判定や、システム的にブロックするソリューションを活用し、禁止するのではなく、取り残されないように使い倒すためのさじ加減を探っています。

――従業員教育や、グループ会社への対応についてはいかがですか。

椎野氏：　従業員教育は年2回実施していますが、ただ実施するだけでは不十分です。スケジュールが空いているのに未受講の社員には、メールを重ね、最後は自ら直接電話をかけます。重要なのは、なぜ受講できなかったかという背景にある理由を知ること。例えば、長期出張や休職中といった個々の事情を把握し、個別の状況に応じた改善策を講じることが大事です。

　グループ会社に対しては、セキュリティ用品を文房具のように捉えてもらい、同じもので統一導入してもらっています。年2回は各社の社長やCIOに直接会いに行き、「まとめ買いのほうがボリュームディスカウントで安いから乗り換えませんか」と交渉したり、逆にグループ会社から「社長名をかたるフィッシングメールが来た」と情報をもらって全社に周知したりしています。

　今後はこれをグローバルにも広げます。事業がグローバル化するなかで、法律も風土も違いますが、インフラやセキュリティはシステマティックに決まるため、世界共通の入り口にしやすいと考えています。

「デジタル番頭」になりたい——CIMOが導く、仲間づくり・仕組みづくり・思い出づくり

――今後、個人として実現したいビジョンを教えてください。

椎野氏：　大学院の卒業論文では、ユーザー企業のITケイパビリティに関する研究を行いました。そのなかで私がたどり着いた理想像が、主人と奉公人のあいだに立って店全体に目を配る「デジタル番頭」という存在です。

　情報システムのトップというと、一般にはCIO（Chief Information Officer＝最高情報責任者）ですよね。でも私は、そこにM＝Monetize（事業の収益化）を加えた「CIMO（Chief Information & Monetize Officer＝最高情報事業収益責任者）」であるべきだと考えています。情報を守り、管理するだけでなく、事業を稼がせるところまで責任を持つ。先ほどの「出汁」の話と同じで、主役はあくまで事業ですから。

　しかもこの「CIMO」の4文字は、そのままデジタル番頭に必要な4つの能力の頭文字にもなっているんです。経営者とのコミュニケーション（Communication）、情報技術（Information Technology）、事業の収益化（Monetize）、そして外部を巻き込むオープンイノベーション（Open Innovation）。この4つを備えて事業を伸ばす存在が、私の言う「デジタル番頭」です。CIMOとしてのデジタル番頭になりたい。それが私の展望です。

――同じ立場の経営層やマネジャー、次世代のリーダーへメッセージをお願いします。

椎野氏：　セキュリティは、1社だけでは守りきれない時代です。だからこそ、社内外を問わず仲間づくりをしっかりすること。この連載をきっかけに、まずは一度仲間になっていただき、一緒に仕組みを作っていければと思います。

　「これまでで一番つらかったプロジェクトは？」と聞かれると、つらかったけれど、今では良い思い出になっているものばかりです。ネガティブな体験も、あとで振り返ると必ず成功体験に変わります。だから私は、「仲間づくり・仕組みづくり・思い出づくり」と言っています。いつか「あのとき相談してよかったね」と飲みながら話せるように。ユーザー企業もITベンダーの皆さんも同じ仲間として、社会を守っていきたいですね。

セキュリティリーダーの視座

サイバー攻撃が高度化する今、もはや一社だけで立ち向かうことはできません。本連載では、第一線で活躍するセキュリティのキーマンの経歴や思考、現場で培った実践知を紹介し、多くの方の判断のヒントとなる視点を届けます。ITmedia エグゼクティブでは、こうした知見を起点に、組織を越えた協力や交流の場づくりも進めていきます。

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  「CISOは1人の経営者たれ」――ログの先の人を思う、LayerX CISO 星氏

• 

  「進まざる者は必ず退く」、現状維持は大きなリスク - みずほFG CISO 寺井氏

• 

  「仕方ないインシデント」まで全力を尽くせるか - さくらインターネット 江草氏

• 

  公共交通インフラの使命を軸に、事業継続への攻めと守りを大胆に実行する - JAL 鈴木氏

• 

  専門学校教員からNECのCISOに! 「人生は筋トレ」、訓練は超難題 - NEC 淵上氏

• 

  絵画の傾きを皆で調整するな! 鳥瞰力で推進するリーダー - 村田製作所 楠本氏

• 

  「人に配慮した、厳しくも前向きなセキュリティ環境づくり」 - ライフネット生命 竹山氏

• 

  「CISOの役割は、緩める責任を負うこと」-freee CISO 茂岩氏

• 

  「技術を知らなければ、適切なリスクは取れない」　マネーフォワードCISO　松久氏

• 

  「経営を動かす説明力を鍛えつつ、今も自らログ解析」 - みんなの銀行CISO二宮氏

• 

  「迷ったら前へ！」ホワイトハウスにも突撃するCISO - NTT横浜氏

• 

  「AIは活かすが任せきらない意識が大切」 - イー・ガーディアンCISO徳丸氏

• 

  「永遠に教科書にならない挑戦を楽しむ」 - メルカリCISO・市原氏