積水化学工業 セキュリティ組織（後編） – 役員から新人まで、セキュリティについて「自ら考える」ことを重要視

役員向けサイバーセキュリティ演習を複数の具体例にもとづいて実施

前回、サイバーセキュリティ分科会には役員クラス、サイバーセキュリティ推進部会には部長クラスの方々が参加して、セキュリティ関連の情報共有を行っていると伺いました。貴社ではさらに、セキュリティ意識の醸成に向けて、役員向けの演習を行っているそうですが、その詳細について教えてください。

しばしばメディアでもとり上げていただいているのが、2021年に実施したランサムウェア感染シナリオ演習です。これは「現場でランサムウェア被害が発生した」という設定で詳細なシナリオを用意し、それに対してどんな手を打つべきかを役員自らが考えて議論する、という内容です。同様の演習はそれ以降も継続しており、これまでに4回実施しました。

サプライチェーンセキュリティを扱った回では、サプライチェーン上の企業のシステムがサイバー攻撃を受け、当社のインシデントにまでつながってしまった場合、どう対処するかがテーマでした。この際、「当社がサプライヤー」「当社が仕入れ側」というそれぞれの立場で対処策を考えてもらったのですが、最終的に出てきた策は、当社がサプライヤーの場合は「余剰在庫を持っておき、顧客企業への影響を最小限にする」、当社が仕入れ側の場合では「複数購買（複数のサプライヤーから仕入れられる）体制をつくっておく」というものでした。

面白いのはシステムに端を発するインシデントであるにもかかわらず、対処策にシステムが絡まないことでした。経営陣はシステム的な論点に限って検討するわけではなく、いかに事業を継続させるか、つまりBCPの観点から考えるのです。ですから我々としても、サイバーセキュリティについて経営陣に説明するときには、BCPを念頭に置いた話し方をしなければなりません。そうした説明の仕方で納得してもらえれば、その先はある程度、現場に任せてくれますね。

演習ではほかに「GDPR（EU一般データ保護規則）に抵触してしまったら」「生成AIの利用をどこまで進めるべきか」といった、経営陣が判断に迫られるようなテーマを設定しました。進め方としては、事前に参加者に想定シナリオを提示して、それにどう対応するか、回答をもらっておきます。その回答をもとに私が管轄するデジタル変革推進部の情報システムグループでディスカッションのポイントを洗い出して、後日そのポイントにもとづいて議論してもらうという流れです。こうした演習は特に役員からの評判が良く、「次はいつやるんだ」と聞かれることもありますね。

求めるセキュリティ人材は「自ら考えられる人」「閉じこもらない人」

セキュリティ人材の採用にはどのように取り組まれていますか。

現在、私が長を務める情報システムグループには17人のメンバーがいます。新卒で採用したメンバーは一番上が６年目で20代、キャリア採用はみな30～40代です。多くの企業がDXやセキュリティ強化のために人材を採り出したことで、市場全体で人材が不足しており、当社も常に募集をかけています。ただ、安易に人数を増やそうとは思っていません。特にキャリア採用の基準は厳しく設定しており、最終面接にたどり着くまでの倍率は30倍といったところでしょうか。

キャリア採用では、転職しようと思った根本的な理由を重視しています。「こういうことをやりたいが、今の会社ではできない。ここでやらせてほしい」といったように、やりたいことがはっきりしている人に来てほしいと思っています。そういう人は、自分のやりたいことについて勉強しますし、最新動向も自ら調べます。多少経験が足りなかったり、主観が強すぎたりする場合もありますが、そこは我々が補っていけばいいわけです。

また、自分で考えられる人というのも重要な条件です。考えたくない人を社員にして育て、仕事を割り振るのであれば、外注にしたほうがいいでしょう。ただキャリア採用でそういう人を探すのはなかなか難しいですね。そこで新卒も毎年1～2人は採用することにしました。新卒の場合、1年目から即戦力になることは求めずに、雛鳥を育てるように丁寧に教育しています。

入社後の人材育成についてもお聞かせください。

新卒配属後のIT研修には、外部企業の新卒向け研修を利用しています。さまざまな会社でIT部門に配属されたバラエティに富んだ新人が集まる場で「他流試合」をしながら、人脈をつくってもらう。これができると後々、その人の強みになります。自社に閉じこもっていては、変化の速いITやDXの潮流についていけず「井の中の蛙」になりかねません。だからこそ社外のネットワークはあればあるほどいいと思っています。そうした外部研修を半年ほど受けてもらってから、社内のOJT（ブラザー／シスター制度）で徐々に実務を覚えてもらいます。

また、当グループにはいろいろな事業分野の企業がありますから、新卒・キャリア採用にかかわらず、情報システムグループ内に籠もっているのでなく、たとえば住宅分野やケミカル分野のグループ企業の工場見学などにも、機会があれば行ってみるよう勧めています。システム企画のセンスは他者と交流するなかで育まれるものですから、できるだけその機会を提供するようにしています。

ベンダーが開催する無料セミナーへ行くことも勧めています。そうしたセミナーでは、だいたいベンダーが世の中の状況を説明して「当社の製品こそが課題解決に役立つ」という流れで話を進めていきます。本来、世の中の状況はどの企業が語っても同じものになるはずですが、ベンダーごとに自社の製品にあわせて世相を解釈し、それぞれの「世の中」を語るわけです。そういう話を聞いていると、最先端の情報を得られるだけでなく、さまざまな視点から物事を見ることもできるようになるでしょう。

工場見学やセミナーに行ったあとにレポートの提出を求めるようなことはしません。アウトプットをしている時間があれば、別のセミナーへ行ったほうがいいと思っています。そうやってたくさんの情報を得るなかで、ピンと来るものがあったら、報告するなり、自分の企画書に活かしてくれればいいと思っています。

新型コロナに関する状況も変化してきていますが、最近のメンバーのみなさんの働き方についてはいかがですか。

他部門の出社比率はコロナ禍前の値に戻ってきていますが、情報システムグループは在宅率が高いですね。人によっても異なりますが、2023年9月上旬だと60％強というところです。コロナ禍を経て、Web会議をはじめリモートでだいたいの業務はできるようになりました。ただし、新卒・キャリア採用を問わず新人のメンバーには「できるだけ出社して、先輩たちとコミュニケーションをとるように」と言っています。

グループビジョン実現に向け、事業継続をセキュリティ面から支える

貴社のセキュリティ強化に向けた今後の展望をお聞かせください。

まずは前回もお話しした、セキュリティ体制のグローバル展開です。2年以内に北米、欧州、アジアのRHQ（Regional Headquarters：地域統括会社）に、日本からIT専任担当者を駐在させて、国内外でのコミュニケーションを深めていきたいと思っています。

積水化学グループの長期ビジョン「Innovation for the Earth（ESG経営を中心においた革新と想像で、2030年業容倍増）」を実現するために、DXは重要なテーマです。それを下支えして、グローバルにおいても重大インシデントを起こさせず、事業継続につなげていくことが、我々の大きな役割だと考えています。

前後編にわたり、ありがとうございました。

関連する記事

積水化学工業 セキュリティ組織（前編） – 幅広い事業のセキュリティを下支えする鍵は「標準化」

（取材・文：渡邊智則、写真：岩田伸久）