オープンハウスの「事業のブレーキにならない」セキュリティ運用──現場伴走で急成長を支える仕組みと文化

ルールより関係構築を　相談が歓迎されるセキュリティ文化

　どれだけ立派な仕組みを整えても、それを運用しつづけられることが重要だ。升澤氏は、セキュリティ施策を組織文化として根付かせるには、関係性が重要だと訴える。

　「ルールを整えれば整えるほど、セキュリティが守られるとは限りません。必要なことは、『まず聞いてみよう』と思ってもらえる関係性です」（升澤氏）

　オープンハウスグループのセキュリティ文化には、3つの要素がある。1つ目は「相談が歓迎される」こと。聞いても損をしないという実感が広がれば相談が増え、セキュリティチームも現場動向を把握しやすくなる。2つ目は「名前と顔がわかる」こと。単なる窓口ではなく担当者が人として相談を受け、顔の見える関係をつくることが大切だ。3つ目は「現場が主役」であること。あくまでも決定権の主体は事業部門で、セキュリティチームは最善の選択肢と根拠を示す役割に徹する。

　また、各事業部門やグループ会社に置かれたIT推進担当者などが「事業がわかる翻訳者」として橋渡しを担う。この中間層があるからこそ、少人数でも伴走型セキュリティを維持できているという。

　こうしたセキュリティ文化を育てるためには、事業部門からの相談をチーム内で面倒事として押し付けあわず、会社のために共に解決するという意識を持ち、検討段階から相談を受けられる空気をつくることが欠かせない。その上で、社内のコミュニケーションツールでいつでも相談できる場所を設けて、相談が寄せられた場合には感謝することが重要だとする。「相談や報告を責めるような姿勢・文化は、ユーザーの報告を遅らせ、躊躇させてしまいます」と升澤氏。インシデント対応では初動の速さが被害の大きさを左右するため、心理的障壁を取り除くことで検知から対応までの時間を縮める効果も期待できるだろう。

　加えて升澤氏は、同社が大切にする5つの考えを示した。

1. 事業を理解する者だけが事業を守れる
2. 一方的なNOの代わりに条件を渡す
3. 速さは信頼の前提
4. ルールを作ることは関係を作ること
5. 中心は現場、私たちはそれをサポートする

　とりわけ4つ目について、升澤氏は「ルールを公布して終わりではなく、それを運用できる環境をつくることが大切」だと話す。

　もっとも、升澤氏自身が「まだ道半ば」と認めるように課題も残る。M&Aでグループ会社が増えるたびに、理解すべき事業も顔の見える関係を築くべき相手も増えていく。少人数で伴走型セキュリティを維持するためには、即答の型や判断基準をどこまで形式知として蓄積できるかが鍵になる。

　最後に升澤氏は、「これからも現場とともに走りつづけ、事業成長に寄与していきたい」と語り、講演を締めくくった。ルールで縛るのではなく、関係で守る。オープンハウスグループの試行錯誤は、成長と安全の両立に悩むすべての企業にとって、一つの道しるべとなるだろう。