情報システムの価値を壊すセキュリティは悪である｜情シスとセキュリティ部門は分けるべきなのか | CloudNative BLOGs

企業がITシステムを導入する目的は、業務を効率化したり、新しいサービスを生み出したりして、会社全体の価値を高めることです。しかし、この価値を脅かす存在として、セキュリティ対策が挙げられることがあります。一見すると矛盾しているように聞こえるかもしれませんが、セキュリティ対策が行き過ぎると、かえって業務の足かせになり、システムの本来の目的を損ねてしまうという指摘が最近増えています。

今回の話題は、まさにこの問題に焦点を当てています。情報システムを管理する部署（情シス）と、セキュリティ対策を専門とする部署（セキュリティ部門）を、組織の中で独立させるべきか否か、という議論です。ある経験者は、「セキュリティ部門を独立させない方が良い」という見解を示しています。その理由は、部門が分かれると、セキュリティ部門はどうしても「安全第一」という考えに偏りがちになるからです。

例えば、新しいシステムを導入する際、セキュリティ部門は万が一のリスクを避けるため、非常に厳格なルールや認証プロセスを要求するかもしれません。これは確かにシステムを安全に保つ上では重要ですが、そのせいでシステムを使う現場の担当者は、使い勝手が悪くなったり、作業に時間がかかりすぎたりして、業務が滞ってしまうことがあります。結果として、システムの導入によって得られるはずだった効率化や利便性といった「価値」が、十分に発揮されなくなってしまうのです。

このような状況は、会社全体で見ると、投資したITシステムが期待通りの成果を出せず、むしろコストと手間ばかりがかかる「お荷物」になってしまうリスクをはらんでいます。もちろん、セキュリティがおろそかになれば、情報漏洩やシステム停止といった重大な問題に繋がりかねません。しかし、そのバランスが非常に難しいのです。

理想的なのは、セキュリティと業務の効率化が、お互いに歩み寄りながら共存できる状態です。そのためには、セキュリティ部門が単独で判断を下すのではなく、システムの利用者である現場の意見や、システムによって達成したい事業目標を理解し、それらを考慮に入れた上で、最適なセキュリティ対策を検討する姿勢が求められます。つまり、セキュリティは「業務を支えるもの」であり、「業務を阻害しないもの」であるべきだという考え方です。組織の壁を越え、対話を通じて最適な落としどころを見つけることが、これからの企業ITには不可欠になってくるでしょう。