――CIOとCISOでは判断が相反しそうな場面も起こり得ると思います。そうした際の判断基準はどうお考えですか。
まずリスクを受容できる許容ラインをしっかり考える。その最低ラインは下げられないので、一番安全な状態から少しずつ下げて落としどころを探す。ベースの範囲内でやりたいことをやる方法を見つけるしかない、と思っています。代替案がない問題というのはないんじゃないでしょうか。
――御社は、ガバメントクラウドの提供事業者にも採択されています。高いセキュリティやガバナンスを担保するうえで、意識したことはありますか。
情報システム統括室を作ったこと自体、ガバメントクラウドやISMAP（政府情報システムのためのセキュリティ評価制度）への対応を見据えたものでもありました。基本的に、それが1つの解決策だったと思います。
ただ、ガバメントクラウド提供事業者として採択されたことに関してはCISOだけでできるものではなく、サービス側、開発側が要求にきちんと応える必要があり、それができたから対応できた、という感じですね。
――生成AIの活用とセキュリティの両立はどう考えていますか。
まず、AIかどうかは関係なくて、「外部サービスを利用するかどうか」という観点で見ています。例えば、うちは社内データをMicrosoftのSharePointに置くと決めているので、その範囲はよいが、それより外はダメ。AIも同じで、自社以外での利用目的で学習されない契約を選ぶことを大前提として、そのうえで、サービスごとに「どのデータまで持ち出していいか」の基準を個別に考えます。
｢怒らないので早く言って｣で文化をつくる
――従業員へのセキュリティ教育ではどんな取り組みをされていますか。
年1回、わかりやすいセキュリティ教育資料を作り、テストを受けてもらっています。SIRTが定期的に脆弱性ニュースをSlackで流したり、私も必要に応じて注意喚起を流したりもします。
風土については昔から、基本的に「怒らないので早く言って」でやっています。その文化のおかげで、みんな「変なメールを開いちゃったんですけど、大丈夫ですか」といったレベルのことも報告してくれますね。また、インシデント報告は必要ですが、始末書はありません。ほかのことでもそうですが、会社の風土が基本的に性善説の文化というか、合理性を追求し、不合理なことは求めない人が多いこともあるかもしれません。
