企業のセキュリティ対策というと、専門部署がルールを決めて現場に守らせる、という一方通行な形になりがちですよね。ですが今回取り上げる話題は、事業の責任者がセキュリティの意思決定に直接参加するという、一歩進んだ体制についてです。現場のスピード感を損なわずに、どのようにして生成AIなどの新技術を安全に取り入れていくのか。グリーグループの実践例から、組織全体でリスクに向き合うためのヒントを紐解いていきましょう。
グリーホールディングス株式会社は2月16日、グリーグループの情報セキュリティ委員会事務局の主要メンバー4名へのインタビューを公式オウンドメディア「6 deGREEs」で発表した。
こちらの記事を、簡単に解説お願いできますでしょうか？
グリーグループが自社のオウンドメディアで公開したインタビュー記事について解説しますね。この記事では、同社の情報セキュリティ委員会に、各事業の責任者がメンバーとして参加していることが大きな特徴として紹介されています。セキュリティ部門だけでルールを決めるのではなく、事業部門や法務、内部監査部門などが同じテーブルについて議論し、最終的な意思決定を行っているんです。特に、近年急速に普及している生成AIの活用ルールや、インシデント発生時の対応についても、現場の実情を知る事業責任者を巻き込むことで、安全性と利便性のバランスが取れた実効性のある体制を構築している点が注目されています。
質疑応答
セキュリティの会議に事業責任者が参加するというのは、そんなに珍しいことなんですか？
従来型の日本企業では、セキュリティ部門が作成したルールを各事業部に通達するだけ、というケースがまだ多く見られます。しかし、現場の業務内容を深く理解していないと、実態にそぐわないルールになってしまい、結果として業務効率が下がったり、ルールが形骸化したりする恐れがあるんです。グリーグループのように事業責任者が最初から議論に参加することで、ビジネスのスピード感を損なわずに、リスクをコントロールできる現実的な判断が可能になるというメリットがあります。
生成AIの活用については、具体的にどのようなルール作りをされているんでしょうか？
一律に禁止するのではなく、リスクを把握した上で業務に必要な場合は活用を進める、という柔軟な方針をとっています。具体的には、誰が利用を判断し承認するのか、その許可基準はどうするのか、そして利用開始後にどうやってモニタリングするのかを明確化しています。事業責任者も議論に入っているからこそ、セキュリティのリスクと業務上のメリットを天秤にかけながら、現場が納得して運用できるバランスの良いルールを作ることができているようです。
もし万が一インシデントが起きた時、事業責任者がいると対応はどう変わるんですか？
対応のスピードと納得感が大きく変わります。重大なインシデントが発生した場合、事業責任者自身がその背景や状況を説明し、対応方針を共有します。これにより、セキュリティ部門だけでなく経営層や他部門も状況を正確に把握でき、迅速な合意形成が可能になります。また、他部門で起きたトラブルを「対岸の火事」ではなく、自分たちの組織にも起こりうることとして捉えやすくなり、再発防止策の議論もより深まるという効果があるんですね。
社員の方々の意識を変えるために、会社としてどのような工夫をされているんですか？
単に「怪しいメールは開かない」といった一般的な注意喚起だけでは不十分だと考えているようです。攻撃の手口が巧妙化し、日常業務の延長線上で狙われることが増えているため、「少しでも違和感を持ったら立ち止まる」「早めに相談する」という行動ができる文化作りを重視しています。標的型攻撃メール訓練の結果なども踏まえながら、入社年次や職種に合わせた啓発活動を行い、一人ひとりがセキュリティの要であることを伝えているそうです。
これからのセキュリティ対策において、企業が一番重視すべきことは何でしょうか？
仕組みの整備と、人の意識改革、この両輪を回し続けることですね。どんなに優れたセキュリティシステムを導入しても、最終的にそれを扱うのは人間です。グリーグループの事例が示しているように、現場を巻き込んだ組織体制を作り、従業員が安心して新しい技術に挑戦できる環境を整えることが重要です。セキュリティを「守るための足かせ」ではなく、「ビジネスを加速させるための基盤」として捉え直すことが、今後の企業戦略には欠かせない視点だと言えるでしょう。
まとめ
セキュリティ部門と事業部門が、お互いに協力してルールを作る大切さがよく分かりました。現場を知っている人が議論に入るだけで、こんなにも動きやすくなるものなんですね。また一つ、勉強になりました！
