独立した複数のシステムが統合された巨大システム「Systems of Systems（SoS）」が注目される近年。データの一元化や情報処理コストの圧縮といったメリットが期待される一方、セキュリティ対策の難しさが課題として浮上しています。SoS時代で企業に求められる正しいセキュリティマネジメントとはどのようなものでしょうか？SoSをはじめ経営のシステム化に関する研究に取り組む慶應義塾大学大学院 システムデザイン・マネジメント研究科 教授の白坂成功氏と、NRIセキュアテクノロジーズ株式会社 セキュリティソリューション事業本部長の足立道拡が対談しました。
「体験をデザインする」ことの重要性
※慶應EDGEグローバルイノベータープログラム： 慶應義塾大学大学院システムデザイン・マネジメント研究科による人材育成連携プログラム。システム思考とデザイン思考を融合しながら、分野を横断したアプローチで新価値創造を促進。学内外の多様な人が相互作用する場を通じて、継続してイノベーターが生まれる仕組みとしてデザインされている。
プロダクト開発でも、「体験をデザインする」という発想はとても大切だと感じます。私たちがSecure SketCHを開発する以前、「セキュリティは大事だけれども、難しくて大変なもの」というイメージが世の中に浸透していました。
しかし、見せ方ひとつでその印象やセキュリティ担当者が取り組むときのモチベーションが変わるのではないかと、デザインを強く意識するようになりました。そこから、色々な形でデザインを意識するようになり、デザインチームを立ち上げたことで、Secure SketCHも2022年にグッドデザイン賞を受賞することができました。
セキュリティ評価に「偏差値」という独自の概念を導入
その後、NRIセキュアの新規事業担当になり、その後にSecure SketCHにつながる事業開発に着手した際、当社が有していた取引先数千社のセキュリティ調査結果の回答データに価値を見出しました。そして、セキュリティ評価において「偏差値」という独自の概念を導入したんです。偏差値を利用して、セキュリティレベルを可視化することで、各社を同じモノサシで評価できるようになりました。
75の設問でセキュリティレベルを可視化、Secure SketCHの特徴
4つのカテゴリを設定した理由は、セキュリティを担保すべき領域が多岐に渡るからです。攻撃者が狙う対象は、アプリケーション、物理、インフラなど全体に及ぶため、網羅的に全体を評価する必要があるのです。
「Secure SketCH」のWEBサイトより
Secure SketCHの開発にあたっては、まずグローバルも含めたいくつものガイドラインを確認したうえで、誰もが納得できる75の設問をつくりました。この設問を活用していただくことで、導入企業の担当者さまからは、「経営層への報告がしやすくなった」「数年間のロードマップを立ててセキュリティ施策に取り組めるようになり、その結果が金融機関の監査でも有効だった」「セキュリティ専門外のIT担当者がセキュリティ領域も兼務できるようになった」といった嬉しいお声をいただいています。Secure SketCHを利用いただくことで、セキュリティ対策の自立自走が進み、とても嬉しく感じています。
イノベーションを起こす組織に必要なのは「アジャイル思考」と「多様性」
「KEIO EDGE」のWEBサイトより
今までにないアイディアを生み出すという観点では、白坂先生が講演で触れていた認知バイアスという観点が特に大事だと信じています。 既存事業や技術に精通すればするほど専門性が増えるが、無意識の認知バイアスが障害となり、新しい発想を遠ざけてしまいがちです。そんな時に、異なる専門性や文化を持つ人達から頂戴したピュアな意見や真っすぐな疑問から色々なことを学んできました。
一方で、多様なチームだからこそ考慮しなければならない言葉の難しさにも苦しみました。セキュリティの用語や専門性は難しいので、専門性の量や年代の異なる人達にどうすれば伝わるか、課題の本質を共有できるかを常に考え続けてきました。
おっしゃる通り。個々の専門性が違うほど、言葉のもつ意味や定義が違うので、会話のコミュニケーションだけだと「わかったつもりでわかっていない」ということが多発します。例えばビジネスに関する議論で、経験豊富なビジネスマンの話を新卒の人は理解できるわけもなく、否定や質問もできませんよね。
そういった状況を防ぐために、議論では重要な内容を図に描き、異なる専門家バイアスを持つ人同士でも伝わるように工夫しています。図で構造化・可視化されることで、専門家バイアスの外の人が素朴な質問をぶつけられるようになり「そういう発想はなかった」と、創造的なコラボレーションが生まれるのです。
System of systems (SoS) 化が進む今、理想のセキュリティマネジメントとは？
