“嫌われセキュリティ担当者”のままでいたくないなら、今何をすべきか？：企業文化の転換が必要

セキュリティは重要だが、生産性を妨げかねないことから社内の理解を得にくい場合がある。セキュリティ対策を有効に進めるには、セキュリティに対する社内全体の意識を高めることが必要だ。

社内のセキュリティへの意識をどう高めるかが重要に

　企業内文化を転換すると、組織はエンドユーザーのセキュリティを最優先事項にできる。

　組織にとって、問題が起きてからセキュリティの問題に取り組むのでは遅過ぎる。だがスタートアップをはじめとする小規模企業では、セキュリティをつい見過ごしてしまうことが少なくない。セキュリティの確保が生産性の妨げになるからだ。IT部門にとって、従業員や意思決定者が、セキュリティを真剣に考えるような企業文化を作ることが大切になる。特にエンドユーザーのデータやデバイスに関するセキュリティの場合はなおさらだ。

　「セキュリティは明らかに後回しになっていた」。米サンフランシスコにある不動産会社Shorenstein Realty ServicesのITインフラストラクチャマネージャ、キーン・グリヴィック氏は、2017年10月開催のカンファレンス「BoxWorks 2017」で、自社のセキュリティ対策についてこう述べた。「結果として大きなセキュリティ侵害が見つかり、経営陣は絶対に（悪い話題で）新聞の見出しに社名が出ることのないよう、念入りに対策を講じた」

セキュリティを重視する企業文化の構築方法

　エンドユーザーのセキュリティ向上はまず、どのようなデータなら共有しても安全か、悪意あるWebサイトはどのようなものであるか、などのテーマに関する徹底的な訓練をすることから始まる。これによってエンドユーザーは自分のアクションに責任を持ち、特定の行動のリスクを理解するようになる。

　セキュリティが最優先事項であるという認識が浸透すれば、エンドユーザーは「ITセキュリティチームも会社の一員だ」と感じることができ、単にエンドユーザーに不便を与える存在ではないと理解できる。

　LinkedInの主任情報セキュリティ役員、コーリー・スコット氏は、セキュリティ担当者に次のように問い掛ける。「社内の奥の部屋で、セキュリティ巡回者の役目を果たしているだけか。それとも実際に事業の意思決定を支え、ビジネス志向の人材として尊敬されているか」