オープンハウスの「事業のブレーキにならない」セキュリティ運用──現場伴走で急成長を支える仕組みと文化

現場に作業を持ち込まない　スピードと安全を両立する3つの軸

　先述した点を踏まえ、オープンハウスグループが取り組むのは「現場伴走型のセキュリティ運用」だ。ミッションは、事業を継続させて情報資産を守ること。「事業を理解する」「スピードに応える」「守りを高度化する」を軸として、取り組みを進める。

　3つの軸のうち、土台となるのが事業理解だ。升澤氏は、「エンジニアである前に、不動産会社の社員として事業を知る必要があります」と話す。

　「セキュリティとして『正しい』ことはもちろん重要です。ただ、正しいだけの提案では現場にはフィットしません。事業にとって最適な対策を施すことが最も重要だと考えています」（升澤氏）

　支店などの現地に足を運ぶことで、画面越しではわからない“現場作業の順番”を知る。繁忙期や期末を避けて施策を展開する。業務用語を覚えて要望の背景を聞き出す……受け身で待たず、能動的に事業部門との接点をつくることが大切だとする。

　その上で、スピード感のある対応を担当者の頑張りではなく、仕組みで生み出すことが重要だという。セキュリティの相談窓口を一本化し、頻出する相談内容については判断基準を事前に定義して「即答の型」を共有する。もし、答えのない相談が寄せられたならば、事業部門と一緒に答えを探し出す。そして全面禁止ではなく、期限・範囲を限定した「条件付きの許可」として前進させることも大切だ。セキュリティリスクを「ゼロか受容か」の二者択一にせず、管理できるリスク規模に抑えることで事業を止めない点が肝となる。

　また、「守りを高度化する」という軸は、情報資産を守るための作業を現場に持ち込まないことを意味する。ツールや設定で守れるものはシステム側で担保し、ユーザーの操作を増やさず、協力が必要な場面だけ相談して着地点を探す。升澤氏は、「現場に負担をかけた分だけ、その運用は続かずに形骸化してしまいます。厳しいポリシーで運用すれば、回避する方法を探すユーザーを増やしてしまう。どんなツールやルールにも、抜け道がないということはありません」と述べる。

　対策は、現場の負担が小さい順に検討する。まずシステムやツールの設定で守り、足りなければ規定や判断基準で補う。現場への依頼・相談は、あくまでも最後の手段だ。なお、同社のセキュリティ対策は、NIST（米国立標準技術研究所）のサイバーセキュリティフレームワーク（CSF）に沿って整理されている。システムやセキュリティツールの運用のみならず、ガバナンスの強化にも取り組んでいる。