――御社は服装を含め自由度の高い企業文化をお持ちだとお聞きしています。そうした風土は、報告しやすさにもつながっているのでしょうか。
そうですね。インターネット業界は昔から自由を尊重する空気があり、うちの会社は特に柔軟だと思いますが、そうした自由な文化は報告のしやすさにつながっているかもしれません。
――サイバー人材の育成や、後任のCISO育成はどのようにお考えですか。
後任は欲しいです。ただ、新卒でいきなりセキュリティ専任になるのは、あまりよくないと思っています。会社のやりたいことや風土、固有の業務フローを理解したうえで守る、というのは通り一遍な方法では無理ですから。
とくに事業会社では、まず事業やサービスを見ながらセキュリティのことを身に付け、その上で専任になるのがよいと思います。セキュリティを統括する部署だけで閉じないようにもしたいです。例えば当社では今、プロダクトセキュリティを担うPSIRTの機能をサービス部門に切り出す話があるのですが、そうやってセキュリティに関わる職種や窓口を広げることが、結果的にセキュリティ人材の育成になればと考えています。
日頃から｢みんなの仕事をよく知っておく｣
――ほかの経営陣や非ITの方とのコミュニケーションで気をつけていることはありますか。
専門用語は使いますが、相手がわかっていない前提で説明とセットでわかりやすく話すことは、かなり気をつけています。わかりやすく伝えるには、相手がやっていることをよく理解することが大切です。相手の業務をよく知らないのに、その人たちの仕事に影響することをわかりやすく伝えるのはたぶん無理です。だから、日頃から周囲とコミュニケーションをとってみんなの仕事をよく知っておくというのは、CIOやCISOに求められるスキルだろうと思います。
そしてルールは可否の結果だけでなく、理由とセットで常日頃から説明すること。すると、原理原則を共有できるようになります。先ほどの話につながりますが、みんなが「江草さんだったらこう言いそう」と考えられるようになります。私もルールをすべて暗記しているわけではないので、何か聞かれたら常に原理原則を基に答えています。気分屋にならない、ということですね。
――今後の課題について教えてください。
やりたいこと、着手すべきことがいっぱいあるので、いかに素早く解決していくかが常に課題です。クリティカルになる前に、今のうちに現代的な手法に変えておきたいものも多い。
それと採用ですね。セキュリティエンジニアの転職先はセキュリティベンダーという認識が強く、当社は第一の選択肢になっていないと思います。でも実はSIRTもあり、脆弱性診断ができる人もいて、EDRやSOCの運用も自社でやっている。セキュリティベンダーと同じようなことを、自社の業務としてできるんです。それをもっと知ってもらうことが課題だと思っています。
