――現在の業務内容について教えてください。
エンジニアとしては、クラウドサービス「さくらのクラウド」の機能開発をしています。最近は暗号系の開発が多くて、メモリを暗号化したまま仮想マシンを安全に使うコンフィデンシャルコンピューティングや、鍵管理サービス（KMS）、クラウドHSM（暗号鍵を安全に保管・処理する専用装置）の実装などですね。AIで社内文書を検索し、回答するナレッジベースのような社内ツールも作っています。
執行役員としては他社との協業の方針決定や監督、CIO・CISOとしてはISMS周りの承認や、自部門およびさまざまな部門とのミーティングがあります。ほか、プログラミングコンテストの実行委員長や「JApan Network Operators' Group Meeting」のスタッフなど外部の活動も多いです。
CISOに求められる｢落としどころを探すこと｣
――現場でシステムを作りながらCISO・CIOは務まるものですか。
できると思います。CISO・CIOは、手元で何かを実装するような「作業」そのものより、会社の方針や文化を作る仕事の比重が大きいんです。日々メンバーとコミュニケーションを取り、メンバーが「江草さんだったらこう言うよね」とシミュレーションできるようになればいい。その環境さえ作れれば、そんなに大変ではありません。
――CISOに求められる資質とは何でしょうか。
企業によって違うと思いますが、当社はデジタルインフラを提供する会社、かつ“自前主義”なので、セキュリティ対策の重要性はみんな理解しています。そのうえで「技術的にどう対策するの？」というフェーズにあるため、CISOは「落としどころを探すこと」が求められます。
やりたいことと守りたいものの間で、愚直にやるとあまりに面倒で現実的に無理という時に、「こうしたらできるんじゃない？」という方法を考え、みんなが納得する着地点を探す。制約条件をすべて眺めたうえで道筋を見つけるような、広範囲に見る能力が必要だと思います。
