エンゲージメントと成果の結びつき

　随分前に海外に駐在した。

　小さな拠点なので、技術も営業も総務も、何でも屋さんだったころ。お客様と話をすることは楽しかったし、特段コミュニケーションも嫌いでも苦手でもなかった。でも、お客さんの名前を覚えられないことには、苦労したけれど。

　で、ITをやっていて、お金をいただかない支援はとても楽しい。お客様がすごく感謝してくれるし、こちらも料金としていただかなくていいのは、お客様と対等に話がしやすい。

　でも、事業は事業。ボランティアじゃないのでお金をいただかないといけないし、お客様も、何回も話をするうちに、だんだんこちらの熱意は感じてくれる。そんなうち、「通ってくれているから少しくらいは買ってあげないといけないかな」とか考えていただける。ありがたい限り。

　ある日、お客様がこう切り出した。

　「提案するものを買いたいなと思うのだけれど、決裁が日本で無いと下りない。私の代わりに稟議決裁を書いてくれないだろうか？」

　実は、この瞬間が営業冥利に尽きる。

　お客様が腹を割って信じてくれて、（まあ、提案書も書いているから、決裁には困らないでしょ、とも思うけど）お客様の拠点も小さな所帯。社長が何役もこなしている。忙しくて、考えるのも大変なのだろう。

　「喜んで。稟議システムはこれでいいですね。」

　お客様の稟議システムにログインさせていただき、購入するものと費用と期間を書く。あとは、必要な理由と、投資対効果が大事だ。定性的な効果より、できるだけ定量的な効果。金額とか、回数とか、ログとかでエビデンスが取れる指標が望ましい。

　（私）「お客様のシステム、xxx事業の情報を管理しているから、拡大するには、こんな作業が要りますよね。この製品が入ることで、この作業の割合がこれくらいになるということで、いいですよね。」

　（お客様）「なるほどねぇ。でもウチの会社ではこの言葉は使わないなぁ。こっちの言葉かな」

　（私）「了解です。では、こう書き換えて、こんな感じでどうでしょうか？」

　（お客様）「いいねぇ。そんな感じかな。ありがとね。決裁が下りるかどうかはわからないけど、わかったらまた連絡するね」

　数日後、お客様から決裁が下りたので、早速注文したいとの連絡。すぐに提案通りのものを実現して、その製品を利用できるように設置する。期待以上だとの感謝の言葉も。

　（お客様）「ありがとう。これで上期の取り組みの報告書も、強気にかけそうだよ」

　感謝されながら、売上も上げさせていただく。これこそ基本の形だ。

セキュリティの進め方（１）

　セキュリティ対応に関するルールづくりは、通常の社内でのルール作りと法律上でルールを作る場合は、ちょっと考え方は違います。

　今回はセキュリティ対策を政策など、全体で進める場合の進め方について何回かに分けて、私案をまとめてみたいと思います。

　まず本論に先立ち、社内でのセキュリティ統制であれば、以下のような３ステップをイメージするとします。

①ポリシーや規約をまとめる。必要に応じてなぜこのルールが必要なのか、対象となるリスクを明示しておく。

②各組織で個別にセキュリティ推進を待つ。必要に応じて第２ラインが必要な支援を行う。

③監査権限を持つ組織が、独立して監査を行い、第３者視点での支援を行う。

※第２ラインも、第３ラインも、現場の人からすればうるさい存在かもしれませんが、「支援」ですからね。

 

　これに対して、法律上のルール設定の場合には、以下のような手順が必要です。

• 何のための取り組みなのか？関係者はだれか？
• 施策を進める上で、どんな法律的なルールが必要になるのか。（現在のルールや規制が、セキュリティ対策上、何が障壁になっているのか）
• 施策を推進する中で、事業運営の透明性を示しつつ、関係者への理解と巻き込みを推進

　例えば、セキュリティ対策の場合、組織外の人向けのセキュリティ対策を進めようとすると、通信の秘密が障壁になることがあります。

　通信の秘密についての説明資料があります。
https://www.kantei.go.jp/jp/singi/titeki2/tyousakai/kensho_hyoka_kikaku/2018/kaizoku/benkyoukai/siryou4.pdf

まず日本国憲法第21条2項で検閲の禁止の中で、通信の秘密に言及されています。

第二十一条　集会、結社及び言論、出版その他一切の表現の自由は、これを保障する。 ②　検閲は、これをしてはならない。通信の秘密は、これを侵してはならない

 

次に、電気通信事業法第4条で、秘密の保護の規定があります。

（秘密の保護）

第四条　電気通信事業者の取扱中に係る通信の秘密は、侵してはならない。

２　電気通信事業に従事する者は、在職中電気通信事業者の取扱中に係る通信に関して知り得た他人の秘密を守らなければならない。その職を退いた後においても、同様とする。

　つまり、サイバー対策を進めるにあたり、通信事業者を枠組みに加えると非常に対策が進みそうなのですが、特定の通信に通常通信との明確な区別がなければ、サイバー攻撃も通信の一部として、日本の法律の規定の中では、憲法並びに電気通信事業法の中で通信の秘密を侵していないことを明示する必要があります。

　しかし、いくらこれでは、何もセキュリティ対策が進まないのではないかとのことから、上記の法律の違法性が阻却される例が規定されています。（違法性が阻却されるだけで、業務でも無ければ、褒めてもらえるようになると、もう少しみんなのモチベーションが上がるように思うのですが。）

　この、通信の秘密への対応は、サイバー対策に通信事業者を加えるときの、対策を検討する前提条件というか、環境条件のように考えていただければいいと思います。

　ここまでが、基本的な枠組みなので、次からは、具体的な事例に即して、考えを整理してみたいと思います。

2年生

　新入社員で12ヶ月経験して、４月から2年生になる。

　2年生になると後輩が入ってくる。すべての職場に、というわけではないけれど。

　学生から社会人になって一年、がむしゃらにすすんできた。研修、OJTという名前の放り込み、仕事を教えると称した飲み会、などなど。

　12ヶ月を過ごしてきたことが、それはそれで一つの財産だと思うので、振り返りは良い機会。「あそこが良かった。」「あのときはこうしたほうが良かったのではなかったか」「あのときは先輩に迷惑をかけてしまった」とか、振り返ることができれば糧になる。糧になる、なんて言葉は古いかなぁ。でも、糧になるんだし、得を積むことが一番の成長なんじゃないかな。自分が何をできたか出来てないかも大事だけど、得は積んでいくものだし、得は人からの評価なので、自分でどうのこうの言えるものでもない。

　経験を積むので、資格を取るというのも悪くはない。でも、資格は結局便益を受けるのは自分なので、資格を持っていることをどうのこうの、言えないんだよね。ないよりはあったほうがいいけど、資格があることよりも、得があることのほうが大事だと思う。

　じゃあ、得ってなんですか、って聞かれるかな。そんなときはこう答えることにしている。「人が困っているときに、助けてあげられる。その感謝が得」

　若いうちは、エネルギッシュにわかることも、わからないことも、率直に聞いて下さい。歳を取ると、なかなか人に素直には聞けなくなるものです。

　年配者も、若い人に聞かれると、「こんなことも知らないのか」とは言います。ただ、立ち上がるときの、「どっこいしょ」と同じくらいの話なので、気にしないでくれると嬉しいなぁ。

　そうして若い人が得を積むと、多分、３年目くらいで得の高さは変わらなくなる。そしたら普通にしてみてください。追加で得をくれる先輩もいますし、得が打ち止めの先輩もいます。先輩も、本当は素直にわからないことは、わからないと言わないといけないし、その答えを若手が持っていることも、多いのです。

　新年度の初めが、エイプリルフール。これは、タイミングが悪いよなぁ。

　でも、４月くらいは、リフレッシュして新年度を迎えるのがいいと思うのです。

車座の魅力とは？親密な関係を築く円卓の座#

「車座（くるまざ）」とは、多くの人が輪状に内に向かい合って座ることを指します。例えば、みんなで話し合いをするときに、車座になって酒を飲むなどのシチュエーションで使われる言葉です。

この言葉は、日本の文化や集まりにおいて、円滑なコミュニケーションや親密な雰囲気を作り出すために用いられることがあります。

と、いうことです。

　顔を見ながら、腹を割った会話の場。古くはITのさまざまなテーマの中で、自社の悩みや課題、工夫を語り合って対策を相談したり、逆に愚痴ってみたり。解決しないことも多々あるけど、同じ立場の人がベクトルを合わせることでモチベーションを上げてみたり。

　企業が会費を持ち寄って、ITのテーマで、異業種交流を通じて議論を交わすことで、自己研鑽に努めたこともあった。JUAS 一般社団法人 日本情報システムユーザー協会

にも大変お世話になった。もともと、自分の知識や経験は、自己の経験だけではなく、色んな会社の人の前で披露し、場合によってはこてんぱんに指摘をされながら、鍛えていただいた。コロナ禍になって、一時期、密な関係が憚られていたが、またお世話には何たいなと。

　最近は政治家の先生が盛んに「車座」の言葉を持ち出す。「聞く力があるという」姿勢の体現の一環かもしれないが。

　で、またJUASの話。自分が初めて参加したのは随分前。当時の上司に、「本業に影響出るようとなるなら止めるので、それまでやらせて」と了解を頂いて始めた社外活動。同じワーキンググループ（WG)に同じ社からたまたま二人参加していた。このWGでの議論は、自分としては非常に参考になったと思ったんだけど、もう一人の評価は、「意味がない。このような会への参加は不要なのではないか」と、辛口だった。

　なぜ、同じ会に参加していて，こうも評価が変わるんだろうかとも思った。しかし実際、自分はこのWGで知見も人脈もできたし、彼は性に合わないと変えていった。そういうものなんだと思う。

　一番意味がないのは、黙って聞いていること。聞いていて、勉強になる部分は少なかった。一つ発言しては意見を返していただいて、１つ講演をしては１０意見を頂いて、１つWGや検討会の主査をやっては、１００意見を聞いて、それをこなすことで知見が溜まっていったし、意見を貰えたので、自分の考えを多角的に検証することができた。

　だんだん年配になってくると、ご意見番になってしまうので、なるべく「これは！」と思う若手に話を振りつつ、その人が育っていくのを楽しむ。車座は、顔が見える関係を保ちながら、その後のアクションに繋がることを相談する場。テーマはITでもいいし、セキュリティでもいい。人から理解されにくいテーマほど、車座の議論の燃料にはうってつけである。

　で、「車座」を調べると、ほとんどの例文に「車座になって酒を飲む」と酒が出てくる。本音で語るには、酒も不可欠なんだね

セキュリティ推進の、どうしよう

まず、準備のための頭の整理として、ポリシーと基準、手順のちがいを、生成AIくんに、効いてみた。

1. ポリシーと基準、そして手順は、情報管理やセキュリティにおいて異なる役割を果たします。

2. ポリシー (Policy):

   1. 定義: ポリシーは、組織が策定する情報セキュリティ対策の方針および行動方針です。
   2. 目的: どのような情報資産を自社で扱い、脅威から保護するのかを基本的に記載します。
   3. 具体的内容: 運用規定や運用体制、基本対策なども明記されます。
   4. メリット: 従業員の意識向上や取引先からの信頼を得ることができます。

3. 基準 (Guideline):

   1. 定義: 基準は、具体的な規則や実践方法を示すものです。
   2. 目的: 基本方針を基に情報セキュリティ対策を実践する際の具体的な規則を記述します。
   3. 具体的内容: 情報資産の管理方法や物理的・人的・技術的な対策などが詳細に記されます。

4. 手順 (Procedure):

   1. 定義: 手順は、情報セキュリティ対策を行う際の具体的なステップを指示するものです。
   2. 目的: 誰がどのような情報を扱うときの手順を明確にします。
5. ポリシーは方針を示し、基準は具体的な規則を定め、手順は実際の行動を指示します。これらを適切に組み合わせて、情報セキュリティを確保するための体制を整えましょう。

　うれしいですね。生成AIくんは、ありがたいですね。最近はブログでなにか考えをまとめようとすると、生成AIくんが、ネタも提供してくれるし、挿絵も書いてくれる。

　こうなると人の役割ってなんだろ、って思うと、それを多くの組織、多くの現場に紐づけること。場の流れを作りながら、現場で遵守できるガバナンス自体の肝を作って、広めていくことかと思うんですよね。

　では、最初の問い合わせ・・・

　組織が立ち上がってから３年目のベンチャー企業です。

　社員数だけがどんどん膨らんで、なかなかガバナンスが追いつかない。情報セキュリティ委員会はあって、事務局にされています。委員会は定期的に実施しているし、れっきとしたCISOもいて、きちんと機能している。でもセキュリティ委員会の事務局からすると、この委員会のやり方でいいのかどうか迷っているとのお問い合わせです。

　ではでは、再度、生成AIくんに、情報セキュリティ委員会で最低限やるべきことを効いてみました

情報セキュリティ委員会は、組織内で情報セキュリティを適切に管理するために重要な役割を果たします。最低限、以下の要件を満たすべきです：

1.  組織体制と役割: 　　
   •  委員会の構成員を選定し、役割と責任を明確にします。
   •  委員会のリーダーシップを確立し、情報セキュリティの方針と目標を策定します。 　　
2.  情報セキュリティポリシーと戦略:
   •  情報セキュリティポリシーを策定し、組織全体で共有します。
   • 戦略的なアプローチを検討し、情報セキュリティの目的と方針を達成するための戦略を策定します。
3. 情報セキュリティの知識と能力:
   •  委員会の構成員は、情報セキュリティに関する基本的な知識とスキルを持つべきです。
4. 情報セキュリティ対策の監視と評価:
   • - 情報セキュリティ対策の実施状況を監視し、評価します。 　　
5.  情報セキュリティ教育と意識向上:
   • 従業員に対して情報セキュリティに関する教育とトレーニングを提供します。
   • 情報セキュリティ意識向上の活動を実施します。

これらの要件を満たすことで、情報セキュリティ委員会は組織の情報資産を適切に保護し、セキュリティリスクを最小限に抑える役割を果たします。

ありがたいねぇ。生成AI。きれいな日本語に感謝。 　

まあ、端的に言えば、定期的の会議体を決めたメンバーで招集し、情報セキュリティに関する情報を集めておいて、必要に応じて審議して意思決定をして、結果を議事録に残しておいてください。

それから、有事と平時で、委員会の開催もメンバーの温度感も違います。何事もないときはぼんやりとしているし、派遣社員にUSBを持ち出されて、「内部漏洩はありません」なんて間違った回答をしたあとのテンションは、天と地の違いがあります。有事にきちんと意思決定を効かせることができように、普段から流れをと役割の責任を明確にしておきましょう。

３月１１日

東日本大震災から１３年。

　その時は、新宿の高層ビルの最上階の会議室にいた。自社で買うサーバの最後の価格交渉。発注側の代表者の一人として、そろそろこんなものか、あと１％なんとかならないものか、と、交渉していた。

　その時、にわかに全体が揺れだした。揺れ、といっても、ガタガタガタというものではなく、高層ビルの長周期振動のため、自分の座っている机と椅子が流されていく感じ。大袈裟に言うと、プールのウォータースライダーみたいな感じ。踏ん張っても踏ん張っても、流されるのが止まらない。

　窓の外を見ると、他の高層ビル群が、同じように大きく揺れている。「自分たちも同じなんだな。（ビルが）ポキっと折れたら、落ちていくんだな。ことが大きすぎて、恐怖感は感じない。東の海の向こうに、火事のような煙も見えた。

　そんなことを考えていると、受注側の彼らは、「今日はもう、打ち合わせになりませんね。本日は退散します」と、エレベータの止まった最上階から、一目散に非常階段を降りていった。

　さて、と。こちらは帰るわけにはいかない。自分の本拠地は他の拠点だったのだが、まずは災害対策本部（となる部屋）に駆けつけた。TVは大津波警報を知らせている。壁一面のホワイトボードを眺めつつ、

「さてと、何を書こうか」

「まずは、停電の地区と戸数でも書いていこうか」

と、おもむろに書き始めた。

　その日のうちに、東北にも対策拠点を設けることになり、自分と一緒に価格交渉していた仲間は、翌日には仙台に言っていた。最初は１日２回社員の安否確認を行い、帰宅できるヒトは帰宅してもらう。逆に残って監視をしないといけないヒトに選り分ける。

　その時の自分の所属部署は平均年齢も高く、通常は大人しすぎるくらいの部署。しかし、震災で様々なシステムが稼働を問われる中、みんなキビキビと、むしろ普段よりも活発に仕事に取り組んでいただいた。コンビニにもおにぎりなどない中、会社に泊まり込んで３日め。自分が一旦帰れる場面をいただいた。

　電車の時刻表の時刻も当てにならない中、数の少ない電車を待った。もともと、自宅待機のヒトも多かったので、遅いけれども、それほど変えるのに苦労したわけではない。電車で１時間半くらい、都心から離れたら、都心とは別世界のように、コンビニも開いているし、人々が通常の顔で歩いていた。

　そのあと、１日家に帰り、また一週間位、ホテルとかに缶詰で勤務。特別シフトは２週間くらいだったろうか。その間、原発の事故は起こり、その後の雨で汚染されるのではないかとの意見も多数あった。その間にホワイトボードの内容は、継続的にウォッチして意思決定すべきものの数字に置き換わっていった。

　日本はどこでも地震が起こりうる。と、今年も元旦から身にしみた。リスクは対策しないといけない。情報システムなら、冗長化したり、免震にしたり、監視拠点を東西に分けたり、グローバルに分けたり。

　リスクはリスク。対策をしないといけない。対策というのは、影響を考えて、その影響が軽減できるようにどのように対策をするか、ということ。

　一番良くないのは、考えないとか、起きないとたかをくくること。所謂無謬性は、何のリスクヘッジにもならない。まずは、真剣にリスクと向き合わないといけない。真剣に考えることは、大事なことだ。

　まあ、そもそもオンプレのサーバの価格交渉をしたいたのだが、これは地震のせいではないが、技術トレンドの波で、クラウドに取って代わった。

税務署に行ってみた

確定申告が終わった。間違いがあるかもしれないけど、あとは連絡待ちかな。

　マイナンバーも入ってからも随分経つし、国税庁の確定申告支援サイトもだいぶこなれているので、もはや、確定申告のために税務署にいかないといけないという認識はだいぶ減った。

　ただ、今年は転職等その他所得等もあり、確定申告支援サイトが使えないので、例年に比べると大部バタバタしたし、１回は出し間違いもあったので、申請方法について、税務署に問い合わせをしにいった。

　最近は、LINEで入場券を予約して、入場できると、一人４５分の枠を与えられる。その４５分間に、税務署のヒトの助けを借りて、スマホまたはPCで、自分で確定申告を行うという制度だった。

　いくつか質問があったのと、国税のタックスアンサーも基本平日昼間なのでなかなか使えないということで、税務署の訪問時間を取ってみた。

　いわゆるIT弱者の人向けのサービスなんだろうけど、入場券の入手はLINEか、その日の朝に配布する部分のみ。多くの人が税務署に来てから、「入場整理券が必要だなんて知らなかった（WEBページに書いてあるんだけどね）」「行政サービスなんだから、誰でも受け入れるのが公的機関の役割ではないのか（それも、そう思う）」と戸惑う声が飛び交う中、研修員というなの臨時バイトによる列に並んでみた。

　着いた税務署は相当な密度、相当な年齢層で、お世辞も健康な職場とは言えない。コロナが落ち着いたとはいえ、インフルも相まっていて、学級閉鎖も相次いでいるこの時期だ。考えてみると、確定申告の時期って、こうしたインフルの時期にやってんだね。そこで感染する可能性もそれなりにはありそう。

　で待つこと３０分、自分の番が来る。自分の場合は質問を準備していて、質問の回答がわかったら、家でのんびりやるつもり。自分の担当には、国税庁からのヘルプと思しき人が親切に教えてくれた。した質問は３点で、いずれにしても理解が正しかったのがわかったので、帰途についた。３０分まちの、３分診療って感じ。

　自営業のヒトも多く申告にいっていた。自分の家を休みにしたら、それだけ収入を制限してでも納税の義務を果たす。高い倫理観に感服。それに比べ、人に言われたから納税しなくてもいいと思った先生方は、バツとして残りの期間、税務署にヘルプに入ってはどうか。リスキリングにもなるかもしれない。

ちなみに今年使ったのは、確定申告の支援サイトではなく、e-taxの端末ソフトの方。毎年の法改正に合わせて、端末ソフトをインストールしたあとに、法令に基づいた大量の設定ファイルをダウンロードして使う。

　もう数年経つと、生成AIを活用して「こんな感じで確定申告の案を作りました。正しければ、署名して提出してください」って形になるんだろうなぁ。自営業のヒトを休んでもらって確定申告させるなんて、本当にやらせてはいけないことで、ルールに基づいた解釈に基づく手続きなんだから、基本的には生成AIが一番得意とするところである。

　ただし、正しいかどうかはヒトが確認しないといけない。それくらいは仕事をしたほうがいい。