- 情報セキュリティに関連する法令は多岐にわたり、「何がわからないかがわからない」という状況に陥りがち
- 事前対策、事後対応を適切・的確に行うためには、対応の大前提となる法制度の理解が欠かせない
- 日本シーサート協議会の法制度研究WGでは、参加者同士のコミュニケーションを大切にしながら、実務に基づいた形で法令や制度、社会倫理などについて幅広く学べる
主査 池田 香苗氏
GDPR対応などのニーズが高まるなかセキュリティ部門へ異動
まずは、池田さんのご経歴と普段のお仕事について教えてください。
私は、ANAグループのITシステムを担うANAシステムズに本社部門スタッフとして採用され、これまでにIT企画や調達、コストマネジメント、ベンダリレーションなど、さまざまな領域の仕事に携わってきました。その中でも、ANAグループのデジタルに関する法令や契約に関する対応には、特に力を注いできました。
現在はANAホールディングスのグループIT部と全日本空輸の情報セキュリティ・デジタルガバナンスチームを兼務しています。最近注力しているのは、ANAグループ全体のデジタルガバナンス推進です。
ANAグループ各社の事業は航空運送事業を支えるものが中心ですから、デジタルやセキュリティを少し遠い領域と感じる社員もいます。その中で、デジタルの活用やその勘所、セキュリティの重要性をグループのメンバーにわかりやすく伝えようと試みながら、「ANAグループのデジタルやセキュリティの民主化」に取り組んでいるところです。
「セキュリティの民主化」とはどのようなものでしょうか。
データ活用でもよく使われる「民主化」というキーワードですが、デジタルやセキュリティは、企業において、一部の専門家や担当部署の人たちの領域と思われがちです。また、専門用語等が難しく、とっつきにくく感じることもあり、誰かにやってもらいたいという気持ちになってしまう傾向があります。しかしながら、セキュリティは人の脆弱性に起因するものも多く、日常業務を行う前提として捉える必要があります。
そのためには、身近な事例やニュースに上がっている事案などを用いて、セキュリティは決して対岸の火事ではない、という認識を広く持ってもらうことが重要です。また、状況を可視化したり、これらをわかりやすい表現や仕組みに変えたりすることで、誰もがセキュリティを自らの仕事の一部として自律的に扱えるようにすることも大切です。
池田さんは、いつ頃からセキュリティに関わるお仕事に取り組み始めたのですか。
セキュリティ部門に異動したのは2016年です。当時は、欧州のデータ保護指令がEU一般データ保護規則（GDPR）として適用されることが決まったタイミングでした。普段の業務でデジタルに関する契約や法令対応を行っていくなかで、会社としてGDPRへの対応にも取り組み始めていたところ、セキュリティ部門への異動の話をいただきました。もともとセキュリティに興味があり、相思相愛の形で異動しました。
なぜ、セキュリティに興味を持たれたのでしょうか。
ANAシステムズはかねてからCSIRTに力を入れており、専門性の高い魅力的なメンバーが集まっています。彼らの話を聞いているうちに、私はセキュリティの重要性やおもしろさを感じるようになりました。また、IT企画の業務の一環として日頃からデジタルの動向をチェックしていたこともあり、セキュリティが今後ますます重要になっていくことから、自分の専門領域の1つにしていきたいという思いを持ちました。
「恩返し」の気持ちから法制度研究WGを設立
日本シーサート協議会との出会いについて聞かせてください。
セキュリティ部門へ異動してきた際に、当時の上司に同行したのが日本シーサート協議会との出会いでした。それまでの私は技術畑の会合に参加した経験がなく、「セキュリティのコミュニティで話される内容は自分にとって難しいのでは？」と不安に感じていました。でも実際に参加してみると、参加者が笑顔を見せながらセキュリティの話をしていて、こんなに楽しい会があるんだとカルチャーショックを受けたのです。日本シーサート協議会は、私のようなリスキリング人材を温かく受け入れてくれただけでなく、サイバー攻撃の手法やコミュニティとの付き合い方など、実務に関するあらゆることを教えてくれました。
そして、法制度研究WGを立ち上げられました。
日本シーサート協議会の各コミュニティに参加することでさまざまな恩恵を受けましたから、私にも何かお返しできることはないかと考えたのです。先ほどもお伝えしたように、2016年当時は、法令がセキュリティ領域に大きな影響を与え始めた時期でしたし、サプライチェーンリスクマネジメントの重要性も高くなると見込んでいました。そこで、IT契約やリスク管理、調達などといったこれまでの自分の経験を交えながら、セキュリティ領域の法制度についてわかりやすく知見を共有できる場をつくれないかと、2017年1月に法制度研究WGを設立しました。日本シーサート協議会の先輩方、専門家のみなさんに後押ししていただいたことも励みになりましたね。
当時、参加者のみなさんからはどのような反応があったのでしょうか。
はじめの頃の参加者は技術職の方が多く、法制度というと「法務の仕事じゃないの？」「なんだか難しそう」と思われた方も少なくなかったと思います。そのため、私たちはわかりやすくおもしろい会にすることでみなさんに集まってもらおうというコンセプトで取り組んできました。今では、法務や広報、経営の方などさまざまなバックグランドをお持ちの方に参加していただけるような会になりました。
業務に即して関連法令や制度をキャッチアップ
法制度研究WGの特長を教えてください。
法律だけを学びたいのであれば、より専門性の高い研究会が他にあるでしょう。しかし、実務に基づく議論をできる場は多くありません。当WGでは、普段の業務でのお困りごとや会社の垣根を超えて連携できそうな話題を中心に、参加者同士のコミュニケーションを大切に意見を交換していきます。これは日本シーサート協議会の趣旨と同様です。
最近は、WGのメンバーが一番興味を持っているといっても過言ではない「個人情報保護法への対応やプライバシーへの対応」を踏まえたデータ利活用を行うための情報や知見獲得やガバナンス対応について、メンバーが膝を突き合わせて議論することが多いですね。そのなかで日本シーサート協議会らしい、他にはない成果物を出せるように取り組んでいます。
また、情報セキュリティに関わる法令というと個人情報保護法ばかりに注目が集まりがちですが、当WGでは電気通信事業法やAI倫理など、業務に即した形であらゆる法令や制度を幅広くキャッチアップしています。一方で、WGメンバーの関心が高い「プライバシーガバナンス&グローバル個人情報保護法対応」「経済安全保障」「デジタルガバナンス・情報開示」という掘り下げを要する3つの領域については、分科会を開いて調査分析を行い、WGへフィードバックするというサイクルを回しています。今後、この分科会活動も動向を踏まえ変化、発展したいと考えています。
これまでどのようなテーマでWGを開催されてきたのでしょうか。
グローバルの法令動向、IT判例、データビジネスなどさまざまです。テーマは、参加者へのアンケートを参考に決めることもありますし、日々の調査分析で「これから注目されそうだ」と感じたものを設定することもあります。いずれにしても、私自身が知りたい内容ではなく、参加者のみなさんが聞きたい内容は何かを意識しながらコーディネートするよう心がけています。
法制度ありきではなく、実務的な視点から論点を掘り起こすイメージでしょうか。
そうですね。実務では個人情報保護法だけでなく、経済安全保障、競争法、AI規制なども深く関わってきます。これらについて詳細に調査分析や判断をするのはリーガル部門の役割になるかもしれませんが、セキュリティ部門が第一報を受けたり、チェックポイントとなったりするケースは少なくないでしょう。
情報セキュリティはすべての企業活動のベースになる領域です。WGのメンバーのみなさんには、できるだけ広い視点を持って知識を得て、企業をナビゲートする機能を果たしていっていただく一助となるように企画運営していきたいと考えています。
「法律のみによらない判断」のために必要な法知識
セキュリティ人材がセキュリティに関わる法制度を理解しようとする際、どのような課題を感じるのでしょうか。
各所さまざまな資料を公表されていますが、日々の実務をこなしながら数百ページにもわたる専門的な資料を読みこなせる方はそう多くないでしょう。また、セキュリティは多岐にわたる分野の法令と密接に関わっていますから、「何がわからないかがわからない」という状況に陥ってしまいがちです。
なぜ今、法知識を求めるセキュリティ人材が増えているのでしょうか。
企業における新技術の領域は、個人情報を含むデータの活用がなければもはや成り立ちませんよね。データを活用するためには、法制度への理解が必須です。さらに、法律だけでなく、社会的な倫理観や説明責任についても考えなければなりません。近年は、個人情報保護法を守っていても炎上してしまうケースがあるように、企業としてやって良いことと悪いことを、法律のみによらず判断する必要が出てきています。しかし、大前提となる法律を理解しておかなければ、その議論すらできないことになります。
セキュリティ人材は、どのようなテーマを重点的に学ぶべきでしょうか。
経済安全保障や個人情報保護法など、重要なテーマはいくつかあります。しかし、特定のテーマにとらわれないことが大切です。海外ではクラウド関連の法律など新しい法令もできていますし、NISTのサイバーセキュリティフレームワークをはじめとする情報セキュリティフレームワークをキャッチアップしていくことも必要です。心を柔らかくして人の言葉に耳を傾けながら、広くアンテナを張っておくことが重要です。私たちのようなコミュニティ活動は、そのような目的のためにあります。
アンテナを張るための調査分析にはマンパワーが必要です。自分1人で調べた情報は1にしかなりませんが、10人集まって調べれば10を知ることができるからです。法制度研究WGでは、そのような横の連携を図ることができます。たとえば、社内にセキュリティ担当者が自分1人しかおらず、心が折れそうになったとしても、同じような立場の社外の仲間と集まることができれば、モチベーションを保ちやすいでしょう。そうした場をつくっていくことが、法制度研究WG、そして日本シーサート協議会の意義であると私は考えています。
後編へ続く
（取材・文：周藤 瞳美、写真：岩田 伸久）
最新情報をフォローする
