セキュリティリーダーの視座

事業を止めない「究極のバランサー」であれ - Visional 若井氏（2/2 ページ）

セキュリティ責任者は「究極のバランサー」であり「免震構造のダンパー」

――その後、2017年にビズリーチへ参画されます。当時の会社の状況はいかがでしたか。

若井氏：　私が入社した当時は、社員数が800名ほどの規模で、会社として上場に向けたガバナンス強化を進めたいというタイミングでした。セキュリティに関する規定やルールはまだ十分に整備されておらず、一部の技術力が高い人たちが属人的に運用でカバーしている状態でした。そこから、全社的な取り組みへと引き上げ、組織や仕組みを作っていくのが私のミッションでした。

――グループ全体のITとセキュリティを統括する現在、セキュリティ責任者としての役割をどう捉えていますか。

若井氏：　私個人の役割を一言で表すなら「究極のバランサー」だと思っています。セキュリティはどうしても守りに偏りがちですが、事業を成長させるためには、時にはブレーキを緩めることも必要です。

　会社の規模やフェーズ、事業内容によって、効果的な施策は変わります。今は不要でも、1年後には必要になっていることも少なくありません。そのため、1つのやり方に固執せず、会社の状況を見ながら、その時々に合った施策を提案していく必要があります。

　建物に例えるなら、「免震構造のダンパー」に近いかもしれません。ガチガチに固めてしまうと、強い力がかかったときに崩れてしまいますし、かといって緩すぎてもいけません。何かあったときにも倒れないよう、うまく揺らぎながら、いなしながら、きちんと芯を保ち続ける。そんなバランス感が理想ですね。

　グループ内には事業規模の大きい「ビズリーチ」もあれば、生まれたばかりの新規事業もあります。だからこそ、グループ会社のリスク評価では、評価項目自体をフェーズに合わせて柔軟に変えています。私たちのネットワークに乗り、グループ支給の端末を使っていれば、面倒な監視や基本的な防御策は全て私たちが引き受けます。

　「セキュリティのことは私たちが守るから、皆さんは安心して事業に専念してください」と言える関係づくりこそが、私が理想とするバランサーの姿です。

「何か起きてからでは遅い」――半年先を見据え、先回りで"引き出し"を揃える

――経営層とのコミュニケーションや、セキュリティ投資の合意形成で意識していることはありますか。

若井氏：　入社以来徹底しているのが、可視化・数値化です。デバイスの数から始まり、IT資産の状況、インシデントの検出数まで、現状を正しく把握できる仕組みを作ってきました。今では、ほとんど見えないものがない状態まで来ています。

　セキュリティはROIがわかりにくい領域です。被害額の想定なども、前提の置き方次第で数字がブレてしまい、納得感が得られません。そこで、経営層への説明でもメンバーからの報告でも、現状や実際に発生している事象を、客観的な数字で示すことを徹底しています。そのうえで、報告基準に該当するインシデントは、全て月次の経営会議で共有します。

　ただし、報告するのは起きた事象だけではありません。「この先、起こりそうなこと」という予兆まで含めて経営と共有しておきます。これが、有事に先回りで動くための起点になります。

――事業のスピードが速い環境下でセキュリティを担保するために、具体的にどのような工夫をされているのでしょうか。

若井氏：　最も意識しているのは、未来に向けていかに"引き出し"を用意しておくか、ということです。何か起きてから動くのでは遅すぎます。インシデントや環境変化が起きたときには、すでに7～8割は準備ができている状態にしておくのが私のスタンスです。

　たとえば、少し時間が空いたときは、目の前の業務をこなすだけでなく、新しい技術やソリューションの調査・検証に充てます。現時点では使わなくても、会社が次のフェーズに進めば必要になるものを、半年後、1年後を見据えてストックしておくのです。守りとしての現状維持も大切ですが、事業の成長を止めないためには、この先回りの準備が欠かせません。

ITとセキュリティの境界をなくす組織づくりと、AI時代の「ナレッジ空洞化」対策

――従業員向けのセキュリティ教育でも、独自の取り組みをされていると伺いました。

若井氏：　ここ数年、単なるセキュリティ教育ではなく、ITリテラシーとセキュリティをセットで伝えることに重点を置いています。現在、ITとセキュリティの境界線が非常にわかりにくくなっています。ITの基本的な知識がないままセキュリティのルールだけを押し付けても、「不便になった」としか受け取られません。

　そこで、専任チームによる社内向けの取り組み「ITアカデミー」において、SlackやZoomの便利な使い方など、業務に役立つITの知識と併せてセキュリティについて発信しています。さらに、「ここで学ぶITリテラシーは、私生活で皆さんの個人データや資産を守るためにも役立つものです」と伝えています。

　会社のルールを強制するのではなく、社員の人生のプラスになる知恵として届ける。これが、Visionalのバリューである「価値あることを、正しくやろう」の体現でもあり、自発的でポジティブなセキュリティ文化の醸成につながっています。

――組織体制そのものにも変化があったそうですね。

若井氏：　はい。ITとセキュリティを区別する時代ではないという確信から、今年度（2026年8月）より、従来の組織の壁を取り払いました。新たな体制では、ガバナンス・統制・リスク評価を共通の土台に置き、その上にインフラ担当、DX担当の部隊を配置し、セキュリティエンジニアをシャッフルしてマージしています。

　これまでスペシャリストとして個々の領域で生きてきたエンジニアたちを融合させるのは初めての試みで、正直うまくいくかどうかはまだわかりません。しかし、この挑戦は、インフラやDXの設計初期からセキュリティを組み込むセキュリティ・バイ・デザインを本当の意味で実現するために不可欠な一歩だと信じています。

――先を見据えるというお話がありましたが、生成AIなどの新技術に対してはどのような危機感を持っていますか。

若井氏：　生成AIは自動化や効率化に非常に役立ちますが、一方で、ナレッジの空洞化を引き起こすリスクがあると考えています。

　自分の業務をAIが代替してくれるようになると、裏側で何が行われているのか、本来どういうプロセスで処理すべきなのかという知識が失われていきます。もし自動化された仕組みにトラブルが起きたとき、手作業でリカバリできる人が誰もいなくなってしまう。

　そのため社内では、「生成AIを使うのは大いに推奨するが、使う以上はプロセスをドキュメントに残し、仕様として整理することをセットにしなければならない」と伝えています。こうしたことも、数年後に会社が立ち行かなくなる事態を防ぐための、先回りの対策の1つです。

"おばあちゃんの知恵袋"を共有し、日本全体のセキュリティレベルを上げたい

――最後に、今後の展望や、同じようにセキュリティに向き合う次世代のリーダーへメッセージをお願いします。

若井氏：　私の好きな言葉に「和して同ぜず」というものがあります。仲間が多いほうが仕事は進めやすいですが、ただ周りに同調して流されるのは違います。正しいと思うことは、しっかりと意見をぶつけ合いながら進めていくべきです。

　私が基準にしているのは、「最終ゴールにかなっているか」という一点です。事業を止めないためには、トラブル時の暫定対処など、手前のやり方は多少荒くてもいい、まずは目的を果たせればいいと割り切るリアリズムも必要です。ただし、その泥臭いアプローチが、最終的なゴールへと向かう過程として正しいかどうかは厳しく見極めます。一時的に楽な道を選んだせいで後で二度手間になるくらいなら、今は手作業で苦労してでも本質的なルートを選ぶ。この長期的かつ大局的なゴール視点があって初めて、本当の調和が生まれると考えています。

　セキュリティ責任者は、企業の成長と守りの狭間に立つ非常に難しいポジションです。生成AIが一般的なベストプラクティスを教えてくれる時代になっても、自社のフェーズや状況に本当に合っているかどうかを判断するには、人間が泥臭く培ってきた経験値が不可欠です。

　私自身も、さまざまな失敗や成功を経験してきました。そうした、"おばあちゃんの知恵袋"のような泥臭いナレッジを、企業の垣根を越えて共有していきたいと考えています。お互いの会社を高め合い、ひいては日本社会全体のセキュリティレベルを上げていく。そうした仲間づくりに、これからも取り組んでいきたいと思います。

セキュリティリーダーの視座

サイバー攻撃が高度化する今、もはや一社だけで立ち向かうことはできません。本連載では、第一線で活躍するセキュリティのキーマンの経歴や思考、現場で培った実践知を紹介し、多くの方の判断のヒントとなる視点を届けます。ITmedia エグゼクティブでは、こうした知見を起点に、組織を越えた協力や交流の場づくりも進めていきます。

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  ビジネスもセキュリティも「数字で示すしかない」 - JERA CIO兼CISO 行徳セルソ氏

• 

  Agentic AI前提でセキュリティを作り直す - Sansan 鴨志田氏

• 

  「セキュリティは事業を活かす出汁、責任者はCIMOで目指せ」 - JTB 椎野氏

• 

  「CISOは1人の経営者たれ」――ログの先の人を思う、LayerX CISO 星氏

• 

  「進まざる者は必ず退く」、現状維持は大きなリスク - みずほFG CISO 寺井氏

• 

  「仕方ないインシデント」まで全力を尽くせるか - さくらインターネット 江草氏

• 

  公共交通インフラの使命を軸に、事業継続への攻めと守りを大胆に実行する - JAL 鈴木氏

• 

  専門学校教員からNECのCISOに! 「人生は筋トレ」、訓練は超難題 - NEC 淵上氏

• 

  絵画の傾きを皆で調整するな! 鳥瞰力で推進するリーダー - 村田製作所 楠本氏

• 

  「人に配慮した、厳しくも前向きなセキュリティ環境づくり」 - ライフネット生命 竹山氏

• 

  「CISOの役割は、緩める責任を負うこと」-freee CISO 茂岩氏

• 

  「技術を知らなければ、適切なリスクは取れない」　マネーフォワードCISO　松久氏

• 

  「経営を動かす説明力を鍛えつつ、今も自らログ解析」 - みんなの銀行CISO二宮氏

• 

  「迷ったら前へ！」ホワイトハウスにも突撃するCISO - NTT横浜氏

• 

  「AIは活かすが任せきらない意識が大切」 - イー・ガーディアンCISO徳丸氏

• 

  「永遠に教科書にならない挑戦を楽しむ」 - メルカリCISO・市原氏