　私は松下電器産業（現パナソニック）の情報システム部門勤務を経て2004年から本社部門の情報セキュリティ専任組織に移り、その推進や監査、インシデント対応などを担当しました。松下電器は大きな会社ですが、独立採算で事業責任を負う事業部制を導入していたため、「中小企業の集まり」とも表現されていました。

　情報セキュリティについても、当時は各事業部門の経営者が推進体制を構築し、それぞれのやり方で運営していました。その後、松下電器を定年退職した私は別の会社に所属し、情報セキュリティ構築を支援する仕事に携わり、多くの会社・事業部門における情報セキュリティの取り組み状況を見てきました。

　それらの経験を通じて実感したのは、企業規模の大小や国内外を問わず、情報セキュリティ推進や成熟に深く影響するのは、経営者の姿勢や意識であるということです。逆に経営者が情報セキュリティ推進に主体性を発揮しないと、いくら優秀なセキュリティ人材を集めようと、資金を投じようと、なかなか上手くいかないということでもあります。

　本コラムでは、このことを特に中堅・中小企業の経営者の方々に認識していただきたく、私が経験から学んだことをお伝えいたします。今日、情報セキュリティは、どんな会社にとっても非常に重要な経営課題です。経営者の皆様が真剣に取り組むことで従業員も本気になり、情報資産を守る協力を得られます。どういうことか、2つのエピソードを挙げてみます。

　最初のエピソードは、松下電器の事業部門で経験したインシデントです。従業員300名ほどの規模の事業部門において、ある年末の最終勤務日、メール誤送信が発生しました。本来、お客様向けにBCCで一斉配信する予定のメールを、誤ってCCで送信してしまったものです。全受信者のメールアドレスが不適切に公開されることで、お客様自身がスパムメールの対象になるなど、セキュリティリスクが高まるリスクが生じました。

　事業部では直ちに部門のトップや関係部門の責任者が集まり、対策会議が開催されました。会議の席上で社長は誤送信の詳細な事実関係を確認した後、お客様に直ちに状況を説明し、お客様への影響を最小限に抑えることを最優先に対応することを指示しました。年末年始にもかかわらず各部署の責任者は関係者を招集し、全員が一丸となって、お客様一人ひとりに連絡を取り状況を説明するとともに、被害が拡大しないようにきめ細かく対応策を説明しました。

　年末年始でご不在の方もいましたが、すべてのお客様に連絡を取り、無事に事態を収束させることができました。一連のインシデント対応が完了した後には、メール誤送信を防ぐために送信前に必ずダブルチェックを行うことを徹底するなどの具体的な対策も、日常的に実行するようになりました。

　次のエピソードですが、グローバルに展開する企業では各国の法規制面についても対応が必須であり、経営層のリーダーシップが求められます。EUでは、GDPR（一般データ保護規則）が施行されており、個人データの保護に関して非常に厳しい規制を設けています。

　GDPRは、データ主体の権利を強化し、データ処理者に対して透明性と責任を求める内容が特徴です。また、米国ではカリフォルニア消費者プライバシー法（CCPA）があり、消費者のプライバシー権を保護しています。シンガポールでも個人データ保護法（PDPA）があり、個人データの取り扱いに関して厳格な規制を設けています。

　これらの法律や規則は、グローバルなビジネス環境において企業が情報セキュリティを確保し、個人情報を適切に管理するための重要な指針となっています。たとえ規模が小さな会社でも、ビジネスを進める上で現地の法律や各種の規制を理解して必要な対応をする必要があり、その上で情報セキュリティ活動を定着化することが求められます。

　こんな状況の下で、東南アジアに拠点を置く小さな会社に関与したことがあります。経営者自らが情報セキュリティの重要性を認識し、言語、文化や慣習に考慮しながら、効果的なセキュリティ対策を推進していました。英語だけでなく、現地の言語でのセキュリティ教育コンテンツを作成し、従業員が理解しやすい形で情報を提供するといったことです。

　さらに定期的な現場確認や職場でのコミュニケーションを通じて、情報セキュリティの重要性を従業員ひとり一人に浸透させる努力を続けていました。このように経営者は現地の文化的価値観や慣習を尊重して、国ごとに異なるプライバシーに関する考え方などを考慮して、法律や規制を理解することや場合によってはカスタマイズされたポリシーを策定するなどを、社内メンバーや外部専門家と協力しながら推進されていました。国内外の経営トップが情報セキュリティに自分事として対応していた背景には、日本の親会社社長自らが事業部門や子会社に対して、情報セキュリティの重要性を訴えていたこともあると考えています。

　本コラムでは規模の大小とは関係なく、企業や組織のトップが情報セキュリティを自分事であり、経営課題であるとすることの意味を2つのエピソードで紹介しました。情報セキュリティ対策は企業の信頼性と持続可能な成長を支える重要な経営課題です。経営トップの皆様が自ら率先して情報セキュリティに取り組むことで組織全体の意識を高め、適切な対応を可能にします。

　すでにご覧になった方もあると思いますが情報処理推進機構（IPA）から「中小企業の情報セキュリティ対策ガイドライン」が公開されています。このガイドラインも参考にしていただき、自社の状況に応じた効果のある対策を実行に移すことで情報資産を守り、お客様やお取引先様の信頼を確保し、さらに強固な基盤を構築されることを願っております。

※本記事は、[CIO Loungeウェブサイト](https://www.ciolounge.org/)に寄稿されたコラムを元に掲載しています。

### 筆者プロフィール
![img](https://storage.diamondv.jp/photos/inserted/7Vg96ddPLYdTuxUWEXbwLy/0d962d82-035b-4dc8-88ef-00624dc99b70.png)

 **東本 謙治 （ひがしもと けんじ）**   
1956年神戸市生まれ。1979年松下電器産業（現パナソニック）入社。情報システム部門において全社経理システムの開発・運営、全システムの基盤技術・運用を担当。2005年の情報セキュリティ本部発足に伴い、グローバル情報セキュリティ施策の立案に携わる。以降、全社への定着化やCSIRT立ち上げなどを担当し、2016年退職。2016年から5年間、監査法人において関西企業を中心として活動、2021年退職。2023年9月、CIO Lounge加入。妻との旅行が趣味。


CIO Loungeは、経営とITの一体化を目指すCIOやIT責任者が集う場であり、日本企業のIT化を支援している。経営者とCIO間のコミュニケーション不足や中小企業のIT活用不足を解消し、デジタル化を加速させる取り組みとは。今回は正会員の東本 謙治氏のコラムを掲載する。

情報セキュリティは経営者が率先して取り組むべき

　OT（制御系）セキュリティに対する取り組みの重要性は、大手製造業に限らず、中堅製造業や製造業以外の設備産業にも共通です。ITセキュリティを充実させてもOTセキュリティに手が回らなければ、“頭隠して尻隠さず”ですし、攻撃者は対策が甘いところを狙うからです。実際、2022年には大手自動車メーカーの部品サプライヤーがサイバー攻撃を受けて操業に影響が生じるという事案もありました。

　皆様の勤務先では、どのようにOTセキュリティ対策を講じているでしょうか。もし、まだ適切な対策を講じていないという状況でしたら、以下のステップに沿って取り組んでいただくとよいと思います。ITセキュリティも同じですが、オーソドックスではあってもきちんと手順を踏んで進めることが結果的には早道であると考えるからです。

## ①経営陣の理解
　OTセキュリティについて、まずは経営陣の理解を得ることが不可欠です。しかし、OTセキュリティには馴染みがなく費用などもかかるので、ITセキュリティよりも理解を得ることが難しい面があります。そこで同業他社ですぐれた対策を行っているところがあればその情報を報告したり、それができなければ、OTセキュリティの全般動向を報告するといいでしょう。

　また、取引先や国からの要請がある場合は特に効果的です。例え仮定の話でも工場の操業停止やサプライチェーンへの影響などを想定し、具体的な損害内容や想定損害額を報告するのもよいかもしれません。IT/OTの両面におけるセキュリティ対策が企業にとって重要なガバナンス対策であることを理解してもらうことが必要です。

## ②製造部門との調整
　次のステップは製造部門との調整です。製造部門は生産性向上やコストダウンには関心がありますが、セキュリティへのそれは薄く、時には“価値を生まない金食い虫”と認識している場合もあります。本社のIT部門はOTのことは管轄外である一方、製造部門はITセキュリティへの問題意識がありませんから、筆者の経験上、OTセキュリティの責任を押しつけ合うことも起きます。

　費用をどこが負担するのかも問題になります。これに関しては個々の企業によって異なりますので正解はありませんが、本社IT部門が責任部署となり、製造部門が日々の運用を行い、費用負担をする形でIT部門長と製造部門のトップや工場長が握るのが妥当だと考えます。どのように役割分担するにせよ、製造部門が主体的にOTセキュリティに取り組むことを優先することが大事です。

## ③問題の明確化
　体制ができたら、OTセキュリティ上の問題点を明確にすることに取り組みます。外部の有識者やコンサルタントに依頼するとポイントを把握しやすいですが、費用がかかります。自社で取り組む場合は、経済産業省の「[工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン](https://www.meti.go.jp/policy/netsecurity/wg1/factorysystems_guideline.html)」や、一般社団法人JPCERTコーディネーションセンターの「[J-CLICS STEP1／STEP2（ICSセキュリティ自己評価ツール）](https://www.jpcert.or.jp/ics/jclics.html)」を活用するとよいと考えます。

　これらは一長一短がありますので、自社の状況に応じて使い分けされることをおすすめします。なお問題の明確化において重要なことは当然ですが、IT部門と製造技術部門や設備担当部門が協力することです。

## ④外部からの攻撃を防御
　次にやるべきことは、外部からの攻撃や侵入を防御するための対策です。これに関しては、そもそも工場内のネットワーク構成がどうなっていて、どのような制御系機器があって、それが外部にどうつながっているのかを把握しないと対策の打ちようがありません。おそらく、完成したばかりの工場でない限り、完全に把握はできないと思います。

　したがって過去のものでも良いのでドキュメントと資産管理台帳を集めて整理することから始めましょう。どうしてもわからない場合は外部の有識者や資産管理ツールを活用して現状を把握してください。その後は少なくともIT/OTネットワークの分離をすることをおすすめします。

　分離をしておくと万が一、IT側が攻撃され、侵入されてもOT側に侵入される可能性が低くなるため、工場停止のような最悪の事態を防ぐことができます。ちなみに、ITネットワークと違ってOTネットワークは簡単に停止できない点に注意する必要があります。

## ⑤内部からの漏洩を防止
　外部からの攻撃防御に加えて、内部からの漏洩を防止する対策も重要です。これに関して先に実施すべきなのが、従業員の教育です。従業員に悪意がなくても知識不足や危機感の欠如などから、インシデントを引き起こす可能性があります。それを防ぐべくOTセキュリティの重要性やインシデント発生時の被害の甚大さを、eラーニングやリアル研修で理解してもらいます。

　一方、悪意のある従業員がいることを想定し、悪さができない、あるいはしてもすぐに発覚することを教育で理解させるとよいです。また外部の委託業者やそこの従業員が原因となる場合もあるので、入退室などの管理や規制などを強化することが重要です。

## ⑥インシデント発生時の拡大防止対策を策定
　対策を講じるだけでなく、攻撃を防げずに侵入された状況を想定して、被害の拡大を防ぐ策を用意することも重要です。有効なのが「検知→対応→復旧体制」の構築です。検知については24時間365日の監視体制の構築が最も望ましいですが、相応の費用が発生するので、少なくとも各種ログを取得することが必要になります。

　対応については、対応体制の構築とインシデントシミュレーション訓練の定期的な実施です。復旧体制についてはバックアップデータの取得と安全な保管が重要になります。このあたりについてはITとOTの間に違いはありません。いざという時に慌てないように、上記の対応を計画的に時間をかけて実行することが重要です。これが「転ばぬ先の杖」となるでしょう。

※本記事は、[CIO Loungeウェブサイト](https://www.ciolounge.org/)に寄稿されたコラムを元に掲載しています。

### 筆者プロフィール
![img](https://storage.diamondv.jp/photos/inserted/cZdTnDjimBQaTwAH2rTEiH/3b58e6e8-8e87-41a3-8db2-c675a5612f37.png)

 **藤城 克也 （ふじしろ かつや）**  
小林製薬で主として人事部門、経営企画部門、IT部門の責任者を経て、同社のCIOを約7年間務め、2022年12月末に同社を定年退職。現在は個人事業主としてCIO Loungeの活動や複数の企業と契約を締結し、人事やITのコンサルティングを行う。趣味はロードバイクで週末を中心に走り、月間走行距離は800～1,000kmを目標に汗を流している。


CIO Loungeは、経営とITの一体化を目指すCIOやIT責任者が集う場であり、日本企業のIT化を支援している。経営者とCIO間のコミュニケーション不足や中小企業のIT活用不足を解消し、デジタル化を加速させる取り組みとは。今回は正会員の藤城克也氏のコラムを掲載する。

実践的なOTセキュリティの進め方

　日増しに拡大するサイバーセキュリティの脅威は、さまざまな業界・企業における大きなリスクであり、経営課題ともなっています。特に製造業ではサプライチェーンにまたがる多くの関連企業がネットワーク化されており、自社の対策を講じただけでは十分ではありません。万一、どこかの企業のセキュリティが侵害されると甚大な影響を及ぼす可能性があります。

　このような脅威に対応するため、各国や各業界においてサイバーセキュリティに関するさまざまな規制や標準が策定され、アップデートされています。製造プロセスの複雑さと国際的なサプライチェーンの広がりにより、サプライチェーン全体の対策を強化するためです。当然、グローバルに展開する日本の製造業は各国の規制や業界のガイドラインを理解し、適切にサイバーセキュリティ対策を強化する必要があります。

　では具体的にどんな規制や標準があるのでしょうか？ ここでは、国レベルの規制例として欧州サイバーレジリエンス法（European Cyber Resilience Act）と、業界におけるガイドライン例として半導体業界のサイバーセキュリティ対策ガイドラインであるSEMI E187およびSEMI E188を取り上げ、企業がどのような対策を講じるべきかについて考えてみます。

## EUの欧州サイバーレジリエンス法

　欧州サイバーレジリエンス法は、欧州連合（EU）が提案した法案で、欧州におけるデジタル製品・サービスのサイバーセキュリティを強化することを目的としています。この法案は、急速に進化するサイバー脅威に対抗して、欧州の消費者と企業のデジタル環境をより安全にするための包括的な枠組みを提供します。

　適用の対象となるのは、ハードウェア、ソフトウェア、デジタルサービスを含む広範な製品・サービスで、そこにはIoTデバイスやネットワーク機器、クラウドサービス、ソフトウェア、アプリケーションなどが含まれます。

　この法案は、製品やサービスの設計・開発・製造・運用・保守・廃棄に至るまでの全ライフサイクルにわたるセキュリティ要件を規定しています。具体的な要件としては、以下の4項目があります。

 **①脆弱性管理** ：製品の脆弱性の定期的評価、必要な修正の迅速な実施  

 **②セキュリティ更新** ：製品ライフサイクル全体にわたるセキュリティ更新の提供と、既知脆弱性の修正  

 **③リスク評価** ：製品のリスク評価と適切なセキュリティ対策の実施  

 **④データ保護** ：ユーザーデータ保護の確保と不正アクセスやデータ漏洩を防ぐための対策の実施  

　脆弱性と対象コンポーネントを特定するためには、ソフトウェア部品表（SBOM：Software Bill Of Materials）の作成と管理が重要ですので、SBOM管理ツールプロセスの導入も考慮する必要があるでしょう。

　欧州に製品を輸出する企業には、製品が法案のセキュリティ要件を満たしていることを証明する文書の提供や、重大なセキュリティインシデントが発生した場合の迅速な報告、製品のセキュリティリスクや対策についての消費者への適切な情報提供など、厳格な義務が課されます。

　違反すると500万～1,500万ユーロ（約8億5,000万～25億7,000万円）、または前会計年度の売上高の1～2.5％の高いほうに相当する罰金が科される可能性があります。2025年には適用が開始される予定ですので、企業はPSIRT（Product Security Incident Response Team、注1）を設置するとともに、全社プロジェクトとして部門横断で対応する必要があります。

注1：PSIRT（Product Security Incident Response Team）とは、自社で製造・販売した製品やサービスのセキュリティレベルの向上、セキュリティインシデント発生時の有事対応などを行う組織

## 半導体業界のセキュリティ規格SEMI E187/E188
　サイバー攻撃の脅威は半導体業界にも影響を及ぼしており、実際に大手ファウンドリーや半導体製造装置メーカーも攻撃を受け、一時操業停止となるなど大きな課題となってきています。このような状況に対応するため、国際半導体製造装置材料協会（SEMI）が情報セキュリティ要件として定めた規格が、SEMI E187およびE188です。

　SEMI E187は、半導体製造装置や設備の基本的なセキュリティ要件を定義したもので、設備サプライヤーやシステムインテグレーターなど、半導体製造工場に設備やサービスを提供する企業に適用されます。要件として、OSセキュリティ、ネットワークセキュリティ、エンドポイント保護、セキュリティ監視の4つの基本要素が含まれ、WindowsおよびLinuxのOSがインストールされたデバイスが対象です。

　もう1つのSEMI E188は、装置・設備の初期導入時や修理・パッチ適用、メンテナンスなどの継続的な活動において、マルウェアなどへの感染を防御することを目的としており、ハードウェアおよびソフトウェアのサプライヤーや設備企業に適用されます。

　要件として、ネットワークやリムーバブルメディアなどを介した設備へのアクセス制御、設備の設置やアップグレードおよびサポート作業、ハードディスクドライブ（HDD）やコンピュータ部品の交換などの製造設備の復元が含まれます。半導体製造装置や設備を担う事業者はSEMI E187/E188を順守し、半導体業界全体としてサイバーセキュリティの強化に努めることが求められます。

　以上、欧州サイバーレジリエンス法とSEMI E187/E188について説明しました。情報セキュリティの脅威が高まる中、各国や各業界において制定される規制やガイドラインはこれらにとどまりませんし、既存の規制やガイドラインは継続的に更新されます。グローバルに展開する製造業はこういった動きへの情報収集力を強化し、各国・各業界の規制動向を把握し、適切な対応を継続することが欠かせません。

　そのためには企業内の組織・部署を超えた連携も重要です。サイバーセキュリティ強化の対象は、工場をはじめとするOT環境や顧客に提供する製品を網羅することになるため、事業部門と生産技術部門、情報セキュリティ部門とが連携する必要があります。

　それ以前にサイバーセキュリティ対策は今日、企業全体で取り組むべき重要な経営課題です。インシデント発生時の甚大な影響を考慮すれば、経営層、IT部門と情報セキュリティ部門、各事業部門が連携し、各国・業界の情報セキュリティ要件に対して適切に対応していくことが求められます。

※本記事は、[CIO Loungeウェブサイト](https://www.ciolounge.org/)に寄稿されたコラムを元に掲載しています。

### 筆者プロフィール
![img](https://storage.diamondv.jp/photos/inserted/o544HeqXDvtzkmyyZZYqGc/c0b9765b-a576-4250-b9f0-a69535120e0e.png)

 **栗田 英正 （くりた ひでまさ）**  

1993年、堀場製作所に入社。インフラ担当からドイツ子会社赴任を経て、グローバルでのERP展開プロジェクトを担当。2020年に情報システム部門長に就任、現在に至る。2023年1月にCIO Loungeに参加、同社を含む製造業の発展に、情報システム面から貢献するべく活動している。


CIO Loungeは、経営とITの一体化を目指すCIOやIT責任者が集う場であり、日本企業のIT化を支援している。経営者とCIO間のコミュニケーション不足や中小企業のIT活用不足を解消し、デジタル化を加速させる取り組みとは。今回は正会員の栗田 英正氏のコラムを掲載する。

グローバル企業に求められる各国・業界の情報セキュリティ規制とは？

　皆さんこんにちは。私は大学を卒業した1987年にワコールへ入社し、生産や営業といったライン部門を経験後、1990年に情報システム部門に異動しました。当時のシステムはいわゆる汎用機を中心に動いており、「情報漏洩リスクなんて、ほぼほぼ考えなくてよかった」時代でした。その後、PCの1人1台化とインターネットの社内導入、各種システムのオープン化とその後のクラウド化、パッケージ導入からSaaS利用へと発展していく中で、セキュリティリスクは飛躍的に拡大し、対策の重要性も高まりました。

　ワコールでは2005年にECサイトからの顧客情報漏洩、2014年にサイト改竄など大きなセキュリティ事故を経験し、そのつど対策を強化してきました。幸い近年は大きな事故はありませんが、一般消費者向けサイトを運営していますし、それなりに知名度もあるので、日々数百～数千件のサイバーアタックを受けています。防御できているものの、最近は標的型メール攻撃やなりすまし詐欺メールなど、新しい手口・脅威への「ヒヤリ・ハット」が常時発生している状況です。

　このようなセキュリティリスクの増大に対応すべく、数年前に情シスからセキュリティ対応機能を分離し、ワコールホールディングスにITガバナンス部という専任組織を設置しました（現在は経営企画部へ統合）。当時は業績が芳しくない状況であり、「今、部門を増やす意味があるのか？」といった反対意見も多かったのですが、何とか実現にこぎつけました。

　どういう目的や理由からセキュリティ専任組織を作ったのか。経営陣などに理解してもらうため、提案者である私がまとめた役割とメリットは大きく3つあります。以下で共有させていただきます。


## ①新規システム投資時のブレーキ役
　昨今のDXと称される流れの中、多くの企業で攻めのIT投資が求められています。情シスだけでなく事業部門やDX推進部門が「アクセルを踏む」中、セキュリティの観点で「ブレーキを踏む」のが専任部隊の役割です。どれほどメリットのある、あるいは効果が見込める投資でも、「このレベルのセキュリティ対策ができないかぎり、投資は絶対に認められない」と進言するのです。

　そこまでいかなくても最近は、安価で便利なサービスが多々あります。現場は「健康診断の予約サービスを導入したい」「作業員の動作解析分析のためにスマホアプリを入れたい」となりがちですが、情シスからすれば違います。基幹システムやイントラネットにつながるわけでもないし、正直面倒で関わりたくない案件です。安価なサービスには基本的なマルウェア対策すらできていない杜撰なものも多くあり、だれかがチェック役をはたさなければなりません。毎月何件も発生するそのような案件に対し、「セキュリティ観点でスクリーニングを行う」のも専任部隊の大切な役割です。

## ②グループ会社のセキュリティ指南役
　物理的な距離や時差がある海外グループ会社、国内だがM＆Aなどで最近ジョインした子会社、本業のビジネス形態と異なる会社など、本社から見てさまざまな意味で距離のあるグループ会社のセキュリティは、不安なものです。

　その緩和・解消もホールディングスにある情報セキュリティ専任部隊の役割です。「桶の理論（桶の一部分でも緩い個所があるとそこから水漏れする）」（図1）を基に、グループ各社の情報セキュリティレベルをモニタリングし、各社へ『このレベルの対策までは必ず取ってね』と進言します。

　そのようなグループ会社、子会社はシステムが統合されていない、されていても部分的なものであることがあります。IT基盤やソフトウェア、サービスも会社によって異なるでしょう。となると情シスは介入しにくい（できない）領域や状況であり、専任部隊が担うメリットは大きいです。

![img](https://storage.diamondv.jp/photos/inserted/9x37GSBJEKJ35ccBNAwxzW/ed404415-7d3b-4a8a-96fd-93b4845249de.png)
図1：桶の理論のイメージ（イラスト：いらすとや）


## ③セキュリティ対策予算の確保役
　グループ各社へセキュリティ対策を求める際、時に多額の予算が必要となります。海外であれば移転価格税制などの問題があり、基本的には各社が予算を確保する必要があります。しかし各子会社からすれば業績向上やコストダウンが見込める投資が最優先で、セキュリティ対策は後回しになりがちです。

　このような場合に情報セキュリティの専任部隊の存在意義があります。例えばホールディングスの経営層に対し、「この会社のセキュリティ対策にはこれだけかかります。親会社として必要と判断されますか？（それともリスクを放置されますか？）」と進言するわけです。もちろん、全社共通ソリューションを導入することなど、全体のセキュリティ対策の仕組みや予算をマネジメントすることも大切な役割です。

　今回、お伝えしたかったことは以上です。ここからは余談になりますが、情報セキュリティには「ここまでやれば大丈夫」というラインがなく、また対策を尽くしたからといって目に見える効果が生じるわけではありません。そのため苦手意識を持つ方は少なくないように思えます。

　しかしサイバーセキュリティの脅威は日増しに強まっています。ハッカー側の組織化、巨大産業化が進む中、隙があれば攻撃されると考えて間違いないでしょう。従来の情報セキュリティ体制が機能し続けるとは考えにくい状況が生じているのです。

　情シス内でセキュリティ対応することに限界を（正直、面倒で苦手だと）感じ、情報セキュリティ専任部隊を作った張本人ですが、私は2024年4月に役職定年＆5月に還暦を迎えて再雇用になり、何の因果かその情報セキュリティ部門で勤務しています。設立当初から（宴会要員として）関わって来たCIO Loungeでも、今年から情報セキュリティ分科会のメンバーとなりました。引き続き、この分野で少しでもお役に立てればと思っています。

※本記事は、[CIO Loungeウェブサイト](https://www.ciolounge.org/)に寄稿されたコラムを元に掲載しています。

### 筆者プロフィール

![img](https://storage.diamondv.jp/photos/inserted/9x37GSBJEKJ35ccBNAwxzW/d6b0ed68-10f3-467d-ba1c-df8ca7c35c1f.png)

 **森本 秀治 （もりもと しゅうじ）**  
  
1987年にワコール入社後、営業部門などを経て3年目よりIT部門へ異動。その後、一貫してITの業務に携わり、2016年に執行役員IT部門長に就任。その後、2023年にワコールホールディングス監査室長を経て、2024年に定年後再雇用で同社経営企画部・情報セキュリティ担当、現在に至る。
趣味は①ヘタレな週末テニス、②（CIO Lounge活動時を含む）安酒場での飲み。


CIO Loungeは、経営とITの一体化を目指すCIOやIT責任者が集う場であり、日本企業のIT化を支援している。経営者とCIO間のコミュニケーション不足や中小企業のIT活用不足を解消し、デジタル化を加速させる取り組みとは。今回は正会員の森本 秀治氏のコラムを掲載する。

「セキュリティをIT部門から分離」──セキュリティ専任組織の3つの役割とメリットとは？

　ChatGPTが一般に公開されて、1年半が経過しました。聞くところによると、生成AIは「史上最速で人間社会の文化、働き方に変革をもたらす存在」だそうで、皆さんの会社でも、その活用に取り組んでおられると思います。

　私が所属する古野電気も同様です。生成AIを使って社員の業務生産性や顧客サービスの質を高めるべく、RAG（Retrieval-Augmented Generation：検索拡張生成）という技術の試行錯誤を行っています。これが正しいかどうかはまだ検証の途上ですが、現時点における状況をシェアさせていただくことで、皆さんの会社における生成AI活用の一助となれば幸いです。

## 生成AIをアフターサービスの高度化に活用する

　当社は船舶に搭載する電子機器メーカーであり、アフターサービスは全国各地の主要な港での実施となります。電子機器にはレーダーやソナーなど複数の種類があり、加えて船舶が寄港している時間内に修理を実施しなければ運行に支障が出てしまうというプレッシャーもあります。それだけサービス員の仕事はハードで、リテンションの向上が喫緊の経営課題となっているほどです。

　これに対し例えばベテランと若手がペアを組み、従来型の“徒弟制度”によるサービス実施と教育を行えればよいのですが、人材不足もあってそうもいきません。例えば地方のサービスセンターに配属された若手エンジニアは、1人で顧客対応しなければならない場合もあります。そうしたエンジニアを、いかに適切に支援するか？ そこで生成AIの導入と活用に着目したのです。

　しかしOpenAIのChatGPT/GPT-4やマイクロソフトのAzure OpenAI Serviceなどの生成AIは、当然、当社の機器に関する詳細な情報は学習していません。ですから仮に機器名や型番を入力して、修理方法を聞いたところでまともな回答が得られないのは明らかです。この問題を乗り越える技術が前述したRAGでした。

　RAGとは、生成AI/大規模言語モデル（LLM）に問い合わせる際に外部情報を検索し、プロンプトと組み合わせることで回答精度を向上させる技術のことです。具体的には、当社内に存在する「技術戦略書」や「サービス履歴」「サービスFAQ」「装備マニュアル・サービスマニュアル」といった文書やデータを整理し、外部情報としてデータベースに一元化しました。これらの情報には当社独自の単語や型式等の番号も含まれます。

## 生成AIの社内展開では「仲間集め」に留意

　実際の利用シーンは次のようなものです。現場での修理対応時に「これでいいのかな？」と不安を感じたときに生成AIを活用します。また遠隔にいる先輩に問い合わせる時も「手も足も出ません」と聞くより、生成AIの回答をもとに「これでいいですか？」と聞きます。心理負担的にこのほうが100倍ましだそうです。

　このような生成AIの社内展開において最も留意したのは、「適切な仲間集め」でした。RAGで社内の文書やデータを取り込めるにせよ、生成AIに100％の回答精度を求めることは不可能です。まして、まだトライアルとして構築した段階ですので、RAGの文書やデータが不足して不正解の回答が出力される可能性は高くなります。

　このような段階で新しい取り組みに「面白み」を感じない人や100％の精度を求める人、そもそも社内のそういった文書の存在を記憶していることが強み＝自らの存在意義と感じている人に協力を要請すると、見事にネガティブキャンペーンを張られ、取り組み自体の存続が危うくなります。

　残念なことに、そういった傾向を示す人はリーダー・役職者で多くなる傾向にあります。ゆえに、あえて仰々しくプロジェクト化することを避け、草の根運動的にちょっと雑談で若年層に紹介し、「こういったツールに興味がある同僚に紹介してね」という展開を図りました。つまり「適切な仲間集め」です。

## 「めちゃくちゃ知識のある、ぶっきらぼうな先輩」

　では、その仲間たちの評価はどんなものでしょう？ 総じて言えば、生成AIは「めちゃくちゃ知識はあるけれど、ぶっきらぼうな先輩」ぐらいの存在だそうです。例えば、製品Aにファンが2つ内蔵されているとして、「Aのファンの型式を教えて」と聞くと、どちらか一方しか答えてくれない。しかし、「Aのファンは2つあると思うんだけど、その2つの型式を教えて」と聞けば両方答えてくれるといった具合です。

　彼/彼女らの気づきは「RAGに使うデータベースも重要だが、それ以上に大切なのが“聞き方”なんだ」ということです。まさに若い感性で、どうやったらこの先輩とうまくやっていけるかを考えるようにRAGと付き合っていかなければならない。ということで、単にツールに対して評価をすればよいというものではなく、使う側も成長していかなければならない、という雰囲気が醸成されつつあります。

　加えて生成AIという“先輩”はぶっきらぼうかもしれないが、「今、忙しい！」とは決して言わないし、何回同じことを聞いても怒鳴られないといった点で親切です。こういった生成AIについての前向きな雰囲気が醸成されれば、たとえ質問に対する回答が不足/誤りでも、ユーザーのほうから「こういう質問に答えてくれなかったのは、この文書群が学習できてないわけではない」という指摘も生まれ、まさに現場とITの共創の場となっています。

　今回ご紹介したRAGを利用した生成AIがビジネスに革新をもたらすとは、私はまだ言い切る段階ではありませんが、適切に活用することで企業の未来を大きく変えうる可能性があることは確実に感じています。ITやデジタルのツールすべてに当てはまることですが、導入段階ではさほどの効果が生まれません。ツールの導入という手段が目的化すればなおのことです。

　しっかりとそれぞれの事業計画、経営目標を把握し、それに則したソリューション、即した導入方法を、その可能性を信じ、不当な扱いや評価をされたときは怒り、対策を考え、粘り強く育てるという、まさに親心＝愛こそがAI導入に必要なものだと考えています。

　AIに人間的感覚である“愛”はありません。しかし、それを使う人間側が愛をもってそれに接し、“AI＋愛”になったときに、ITとAI、そしてユーザーのそれぞれの成長が促され、先進事例の猿真似ではなく、それぞれの企業独自の文化/独自の強みをより強化するものとして、企業の発展に寄与するものとなります。まさにITリーダーの不退転の覚悟が問われていると考えています。

※本記事は、[CIO Loungeウェブサイト](https://www.ciolounge.org/)に寄稿されたコラムを元に掲載しています。

### 筆者プロフィール
![img](https://storage.diamondv.jp/photos/inserted/53TEQY94AFa2QxFjiFBtNZ/11639a76-f7f2-4ee8-9f67-9f848ce95186.png)

 **峯川 和久（みねかわ かずひさ）** 

兵庫県出身。税理士補助という経理畑からスタートし、とある情報システム子会社の経理責任者を経て、2010年に古野電気に入社。異動の度に徐々にIT分野に接近。2019年にIT部長となり、旧来型の“情シス部門”のあり方にアンチテーゼを唱え、DX全般の陣頭指揮を執る。キーワードは「ユーザーを巻き込んだアジャイル開発」「IT施策の前に文化施策」。2022年からCIO Loungeの正会員となり、企業の枠組みを越えて日本企業の発展に寄与したいと考えている52歳。ガンダムオタクの趣味を拗らせ気味。


CIO Loungeは、経営とITの一体化を目指すCIOやIT責任者が集う場であり、日本企業のIT化を支援している。経営者とCIO間のコミュニケーション不足や中小企業のIT活用不足を解消し、デジタル化を加速させる取り組みとは。今回は正会員の峯川 和久氏のコラムを掲載する。

仲間を集めて広げる草の根活動——“古野電気流”の生成AI活用法

　2019年に経済産業省が「IT人材需給に関する調査」を公開し、「2030年に最大約80万人のIT人材が不足する」と指摘したことをご記憶の方も多いかもしれません。当時は「いくら何でも80万人も不足するというのは大げさでは？」といった意見もあったと思いますが、近年、多くの企業がIT化やデジタルトランスフォーメーション（DX）に取り組み、ITやデジタルを担う人材の需要が高まったことで人材不足に拍車がかかっています（図1）。

　特に、中小企業にとっては人材不足が事業承継やIT化の対応を難しくしているという現実問題が大きな課題となっています。

　もちろん、単に需要が供給よりも多いということではありません。供給が細っており、日本で進む少子高齢化、それによる労働人口の減少が極めて深刻な人材不足の問題となって表れているのです。そのしわ寄せを受ける中小企業にとっては切実で、個々の企業では解決が困難な大きな課題でもあります。

![img](https://storage.diamondv.jp/photos/inserted/mEd4JsURNVXdXKpc4qSc3F/6057be9a-9e6c-4ccb-996f-419b271eaf8c.png)

図1：IT人材の不足規模に関する予測（出典：経済産業省）

　この問題に対して、国は「5年間で230万人のデジタル人材の育成」を目標に掲げ、経済産業省や厚生労働省、文部科学省などの省庁が連携・協働してさまざまな施策を実施しています。具体的にはデジタル人材育成・確保に向けて、経産省は「デジタル人材育成プラットフォームの構築」、厚労省は「職業訓練のデジタル分野の重点化」、文科省は「高等教育機関等におけるデジタル人材の育成確保」を、それぞれ連携しながら推進しています。

　これらは社会人や学生が対象ですが、小学校の「プログラミングの必須化」、中学校の「プログラミングの基礎」、高校の「情報」を教育課程として推進しています。子供たち向けのプログラミング教育が将来どのような形で社会的な貢献を実現できるかは未知ですが、デジタルリテラシーを高める効果はあるでしょう。さまざまな手段を動員して人材不足を緩和・解消しないと、競争力の低下や事業自体が成り立たなくなる事態を招くおそれがあると思います。

　私はIT人材不足への方策の1つとして、外国人IT人材の採用が有効ではないかと考えています。近年、日本各地のサービス業やものづくり産業などで働く外国人を多く見かけるようになりました。厚労省のまとめによると、国内の外国人労働者数は2023年度時点で200万人を超えています（図2）。政府もIoT、ビッグデータ、AIなどの分野で日本の技術発展に貢献できる専門性の高い人材を取り入れていく方針を打ち出しています。

![img](https://storage.diamondv.jp/photos/inserted/mEd4JsURNVXdXKpc4qSc3F/813b4e19-b9a3-4c3e-966a-f2e191b53729.jpg)

図2：情報通信業で働く海外人材の推移（出典：ヒューマンリソシア、厚生労働省「外国人雇用状況」の届出状況まとめより作成）

　ですから、企業としても、積極的に外国人のIT人材を採用するべきでしょう。もちろん企業側における労働環境の整備が必要であるなど、それは決して簡単ではありません。外国人IT人材をどのような形で採用し、どのように雇用していくのか？ そこから発想して、例えばフレックスタイム、テレワーク制度や社内教育、言語教育など言語や生活文化の違い、給与・保険に関わる雇用労働条件にいたるまで、企業内における環境を整備する必要があります。

　一方、海外展開している大手企業に限られる面がありますが、海外拠点での採用や海外企業、教育機関との連携による人材採用もあります。外国人は日本人とは異なる価値観や文化を持っており、お互いが理解を深めることでいろいろと斬新な創造アイデアやモチベーションを高められるなどの多様性・柔軟性に富んだ企業風土を作れることなど、社内の活性化にもつながるものと考えます。

　もう1つ、産学連携も重要と考えます。数年前、私はある大学からデータサイエンス学部の新設計画の協力を依頼されました。役員と相談の上、社内的な意義に加えて会社としても意味があると判断し、カリキュラムや教員の面などで全面的に協力することにしました。

　現在では、多くの大学がデジタル関連の学部・学科を設置し、デジタル人材の育成に取り組んでいます。産業界はそうした人材育成を大学任せにせず、積極的に関与するべきではないでしょうか？ 企業の真価は人にあり、人材こそが企業の成長を決めると考えられるからです。

※本記事は、[CIO Loungeウェブサイト](https://www.ciolounge.org/)に寄稿されたコラムを元に掲載しています。

### 筆者プロフィール

![img](https://storage.diamondv.jp/photos/inserted/mEd4JsURNVXdXKpc4qSc3F/168265a0-5dfd-4b09-bece-1b26b31c30a9.png)

 **田島 邦彦（たじま くにひこ）**   

1988年、富士通入社。支店長・営業部長営業職。製造業、金融業、自治体など業界を担当。2021年8月同社退職。企業コンサルティング、マーケティングサポート支援、消費生活アドバイザー活動、観光活動など。2023年10月CIO Lounge加入。趣味は歴史めぐり、旅行、ゴルフ、スポーツ観戦、お酒・食べ物好き嫌いなし、読書、俳句など。


CIO Loungeは、経営とITの一体化を目指すCIOやIT責任者が集う場であり、日本企業のIT化を支援している。経営者とCIO間のコミュニケーション不足や中小企業のIT活用不足を解消し、デジタル化を加速させる取り組みとは。今回は正会員の田島 邦彦氏のコラムを掲載する。

IT人材不足問題を考える

　私はITベンダーに勤務し、地域企業や化学業・流通業大手への営業を担当してきました。主な仕事はシステムやソリューションの提案ですが、受注した案件では営業としてプロジェクトのキックオフから本番稼働まで関わりました。目的や開発規模は千差万別ですが、うまくいったプロジェクトがある一方で納期が遅れたり、追加費用が発生したプロジェクトなどもありました。

　うまくいかなかったプロジェクトには、ITベンダー側メンバーの業務に関するスキル不足や、ユーザー企業の体制の不備、要件定義からシステム設計に進める際の各種齟齬など、いくつかの要因があります。ここでは私が経験した中から、ITベンダーの立場から見た「ユーザー企業の情報システム部門への期待」を整理してみます。論点を明確にするために、1. 情報収集と提案依頼まで、2. ITベンダー選定、3. プロジェクト開発、4. 本番稼働というフェーズごとにまとめます。

## 情報収集と提案依頼まで
　次期システムの検討にあたり、ユーザー企業の情報システム部門は社内でのニーズを整理するために現場部門からのヒアリングを行い、また対応できそうなベンダーやソリューションを調査すると思います。インターネットで簡単に情報収集できますし、セミナーや展示会も多く開かれているので、情報収集の作業は比較的容易にできると思います。

　このフェーズで一番重要なのは、システム化したい業務要件をRFP（Request For Proposal：提案依頼書）としてまとめることです。最近ではRFPの作成指南などもあるので、項目は網羅できると思いますが、私のようなベンダー側からはそれだけでなく、「魂の入った」RFPの仕上げにすることを期待します。

　「魂の入った」とはどういうことかと言いますと、導入の目的や現状の課題、システム化イメージなどが分かりやすく記述されていることに加えて、経営トップの考え方や企業としての中期計画、実際に使うエンドユーザーとの意見もあまねく網羅した内容に仕上げてほしいということです。これにより、ITベンダーは、最高の提案書を作成できるようになるのです。

## ITベンダーの選定
　パートナーの選定にあたっては、ITベンダーの提案内容やプレゼンに対して、評価項目を定めて選定することが一般的です。ベンダーの信頼性（能力、過去実績、事業継続性、安定性）、要件に対する適合性（要件の網羅性と実現性）、プロジェクト体制の妥当性（スケジュール、初期費用とランニングコスト、開発体制と保守体制）などを、項目ごとに評価し、合計を算出する形です。

　ベンダーからの期待としては、提案書の構成力やプロジェクト内容のみならず、提案内容がユーザー企業の組織風土に合っているか、ユーザー企業の本来ビジネスの将来性にも力になれるかなどを、ぜひ評価の対象に入れて真のパートナーとなりうるかの検討も考慮してほしいと思います。

## プロジェクト開発
　ユーザー企業とITベンダーが契約を結ぶと、「要件定義」の段階です。説明不要だと思いますが、エンドユーザーの要望をヒアリングし、その要望を実現するために、具体的にどのような方向性やプロセスでシステムを構築すべきかをまとめる、システム開発初期段階の最も重要な作業工程です。私は、プロジェクトの成否は要件定義にあるといっても過言ではないと思っています。

　この要件定義作業では、どうしても「あれも欲しい、これも欲しい」と要求が膨らみがちです。ベンダーの期待としては、プロジェクトの予算やスケジュールを考慮して、「必ず実現したい内容なのか、できれば実現したい内容なのか」を共同作業の中で、ユーザー企業の情報システム部門がリーダーシップを発揮して整理いただければと思います。

　私の考える要件定義の目的は、ヒアリングを通してエンドユーザーから掘り起こした要求内容を明確にまとめ、どう実現するかを文章にまとめ、エンドユーザーにフィードバックし、理解してもらうことです。そのためにも、ユーザー企業とITベンダーは十分すぎるぐらいのコミュニケーションをとり、進めたいものです。

## 本番稼働
　本番稼働までには、プロジェクトの進捗遅れ、コスト増大、ユーザーデータの整理と検証の困難などなど、いくつかの問題が生じていることが少なくありません。多くの場合、ユーザー企業とITベンダー双方に問題の原因があってそうなったと思われます。

　そこでベンダーの期待としては、一方的に問題の追及をせず、お互い踏み込んだスタンスで解決策を見いだし、一緒になって問題を解決する進め方であって欲しいと思います。もちろんベンダー側に明確な原因がある場合は別です。

　最終的に、ITプロジェクトの成功の可能性を高めるために、ユーザー企業がITベンダーとの関係で重視すべきポイントを整理します。

 **①パートナーシップの構築**  
　ITベンダーを単なるサプライヤーではなく、信頼できるパートナーとして位置づけ、企業情報やビジネス目標を早期に共有し、協力関係を築きます。

 **②共同でのビジョン策定**  
　業務効率化や事業拡大を目指し、ITベンダーの専門知識を活用して、ITソリューションが最大の価値を提供するよう共に戦略を練ります。

 **③要件定義の徹底**  
　プロジェクトの核心である要件定義フェーズでは、ユーザー企業とITベンダーが緊密に協力し、双方が納得するまで議論を重ね、明確な成果物を作成します。

 **④課題解決への共同対応**  
　システムの目的と企業への貢献を常に念頭に置き、問題が生じた際は迅速に解決策を模索し、双方が納得の上で前進します。

　以上、ITプロジェクトの成功に向けた重要なポイントを、ITベンダーの視点からご紹介しました。これらのポイントが、ユーザー企業の情報システム部門におけるプロジェクト管理と実行においてご参考になることを願っています。

※本記事は、[CIO Loungeウェブサイト](https://www.ciolounge.org/)に寄稿されたコラムを元に掲載しています。

### 筆者プロフィール

![img](https://storage.diamondv.jp/photos/inserted/qFV5krEYL4dyDXZB8gvcqL/84e1b861-29d0-4b9f-b35a-c48cd03ee4b5.png)

 **中丸 信和（なかまる のぶかず）**  
1980年、日本電気（NEC）に入社。京都での地域対応のソリューション営業を皮切りに、本社で化学業や流通業に特化した事業部でソリューション営業を担当。2003年、中国に赴任しソリューション事業責任者として日系企業や中国政府・中国企業の新規開拓を担当。2008年、流通業の事業部長、2013年、NEC子会社の役員として、民需企業に加え、自治体・図書館・病院なども担当し2018年に退職。2社ほど顧問を経て昨年3月退職。趣味は旅行（温泉巡り）、食べ歩きとお酒。そしてゴルフとスポーツ観戦。


CIO Loungeは、経営とITの一体化を目指すCIOやIT責任者が集う場であり、日本企業のIT化を支援している。経営者とCIO間のコミュニケーション不足や中小企業のIT活用不足を解消し、デジタル化を加速させる取り組みとは。今回は正会員の中丸 信和氏のコラムを掲載する。

ベンダー視点からのユーザー企業への期待

　ここ数年、海外はもちろん国内においても人々の働き方や働く場所が多様化し、その中でオフィスに期待される役割が単なる作業場所から創造性を育む場所へと変化しています。このような外部環境の変化に対応すべく、リコーは2020年に「OA機器メーカーからデジタルサービスの会社への変革」を掲げ、権限委譲と迅速な意思決定をするために社内カンパニー制を導入するなど変革に取り組んでいます。

　そのリコーでCTO（最高技術責任者、注1）を務める私の役割の1つは、当社が企業理念の使命と目指す姿として掲げる「“はたらく”に歓びを」を、エンジニアをはじめとする社員が実感できるように文化や環境を整備することです。

　そのためにオンラインと対面を組み合わせながら彼／彼女らとコミュニケーションすることを大切にしていますが、本コラムではもう1つの側面、「プロセス、IT、データとデジタル人材育成」について説明させていただきます。いずれもリコーの経営基盤を強化する施策です。当社の事例が少しでも皆さまのお役に立てればと思っております。

注1：CDIO（Chief Digital Innovation Officer）の役割を含む。

## DXを進める上で益々、高まるIT部門の重要性

　従来のIT部門は、社内のさまざまな部署からの要請に応じてアプリケーションを開発したり、ITインフラを保守・運用したりするのが主な役割でした。現在は、デジタル技術を駆使した既存ビジネスの深化や、業態変革・新規ビジネスモデル創出といった事業貢献の役割も求められています。これらを実現するためには、さまざまなプロジェクトをアジャイルかつ同時進行で進める必要があり、統合的に管理するITガバナンスの強化が必要です。

　具体的には、グランドデザインに沿って開始されたプロジェクトのチェックポイントごとに進捗（期待効果・成果への影響有無など）をモニタリングすることです。ERPやSaaSなどの導入プロジェクトでは「Fit to Standard」を掲げ、できるかぎりアドオン開発をせずに業務プロセスを見直すこともIT部門の大事な役割です。これにより導入したシステムやサービスのバージョンアップやパッチ対応などをタイムリーに実施でき、セキュリティリスクの軽減につながります。ITとプロセスをセットで検討していくことが非常に重要です。

## データの整備・利活用と「プロセスDX」の実践

　どの企業にもさまざまな社内データが存在していますが、うまく利用できているとはかぎりません。リコーも同様で欲しいデータを得るために手作業で加工するケースがあり、タイムリーに活用しにくい状況がありました。

　そこで、マスターデータやデータガバナンスの整備を進め、並行して整備したデータの利活用を促進するため社員がBIツールを使いこなすための環境整備や教育を行ってきました。最近、部下から報告を受ける際、ExcelではなくBIツールで説明してくれることが増えてきており、データを基にした議論が活発になってきていると感じています。

　データの利活用という点では業務プロセスを可視化し、IT活用によって業務を高度化する「プロセスDX」にも取り組んでいます。具体的には図1に示すようにプロセスDXの型を定め、プロセスマイニングツールを活用しながら可視化、最適化、デジタル化という3ステップのフローを推進しています。オペレーショナルエクセレンスの実現を目指す取り組みです。

![img](https://storage.diamondv.jp/photos/inserted/k1KbreBeU9wrjUU1gn8NTu/de7ffed1-1a16-4032-a935-8beb6666dc06.png)

　その結果、RPAの効果的な活用による工数削減や、プロセスの一部をローコードツールで自動化するシチズンデベロッパー（市民開発者）養成にもつながっています。これらの社内実践で得たナレッジやノウハウをメニュー化し、コンサルティングサービスとして外部へ提供するビジネスも行っています（関連記事：[オペレーショナルエクセレンスを追求し、全社で取り組むリコーの「プロセスDX」](https://it.impress.co.jp/articles/-/25130)）。

## 「活躍する職場」を見据えたデジタル人材育成

　先に述べたプロセスDXについては、社内でスキル認定制度を運営しています。初級者向けのステージ（ブロンズ）では役員を含めた社員全員が認定取得を目指しています。このステージを通じて学んだ考え方・やり方を生かして実際にプロセスDXを実践する中級者向けのステージ（シルバー）も、ESG目標の1つとして位置づけて取り組んでいます。

　この他にもいくつかの領域でデジタル人材育成の取り組みを進めていますが、私が最も重要視しているのは、アップスキリング/リスキリングしたデジタル人材が「活躍する職場」を最初に用意することです。「せっかくアップスキリング/リスキリングしたのに活躍する職場がなく、かえって社員のモチベーションが低下してしまう」という意見がきっかけです。

　具体的には、事業を担っているビジネス責任者と「事業に貢献するためにどのようなデジタル人材が何人必要か」を議論してすり合わせします。そうすることで活躍する職場をあらかじめ用意した上で、求められるデジタル人材育成を開始するように指揮しています。

　リコーが掲げる「OAメーカーからデジタルサービスの会社への変革」は、単に製品やサービスの革新だけに留まりません。むしろ社員一人ひとりの成長と事業の成長を同軸に置き、変革を推進するデジタル人材を育成することによって実現されます。

　最後に、私が企業人として常日ごろ成し遂げたいと思っていることがあります。それは「日本の製造業を盛り上げる」ことです。モノからコトへとよく言われますが、私はモノ＋コトが大事であると確信しています。モノ＋コトを実現する企業が盛り上がっていくことが、将来の日本を支える大きな柱の1つになると信じています。ご紹介したリコーの取り組みが皆さまの参考になれば幸いです。

※本記事は、[CIO Loungeウェブサイト](https://www.ciolounge.org/)に寄稿されたコラムを元に掲載しています。

### 筆者プロフィール

![img](https://storage.diamondv.jp/photos/inserted/k1KbreBeU9wrjUU1gn8NTu/fee4722b-c1bf-4dd7-bb85-444fde9719da.png)

 **野水 泰之（のみず やすゆき）**   
1986年、リコー入社。現在、コーポレート上席執行役員、CTO（Chief Technology Officer）。これまで、技術経営部 部長、デジタル戦略部 部長、リコーITソリューションズ 代表取締役 社長執行役員、リコーテクノリサーチ 取締役、Ricoh Software Research Center（中国・北京）会長などを務める。趣味は読書と大自然を独り占めできるゴルフ。論語にある「君子は義に喩（さと）り、小人は利に喩る」が座右の銘。


CIO Loungeは、経営とITの一体化を目指すCIOやIT責任者が集う場であり、日本企業のIT化を支援している。経営者とCIO間のコミュニケーション不足や中小企業のIT活用不足を解消し、デジタル化を加速させる取り組みとは。今回は正会員の野水 泰之氏のコラムを掲載する。

デジタルサービスの会社へと変革するリコー——プロセス/データ活用/人材育成を原動力として

　海外に子会社や取引先を持ちグローバルに事業を展開する企業のセキュリティ環境は、不確実性を増しています。実際にサイバー攻撃により事業が停止するなどの被害も発生しています。最近の国際情勢を踏まえて経済産業省などがサイバーセキュリティ対策の強化に関する注意喚起を発出し、海外拠点を含めてリスク低減のための措置を継続して講じるように呼びかけています。

　しかし、サイバーセキュリティへの対処は単に技術的な問題ではありません。グローバルな環境で企業が直面する複数の課題に効果的に対処するためには、組織ガバナンス、人的要素、法的遵守、技術的進歩、技術革新への対応能力、インシデント対応能力、文化的感受性といった複数の要素を総合的に考慮する必要があります。

　このコラムでは、これらの要素がどのように組み合わさり、グローバルなセキュリティ対策に影響を与えるのかを探ります。また、日進月歩で進化するサイバー攻撃への対処法として、技術的進歩の重要性にも焦点を当てます。

　特に、私の経験をもとにサイバーインシデント事例を考察しつつ、文化的感受性、法的な遵守、技術的進歩という3つの領域を中心に、進化し続けるサイバーセキュリティの脅威に対応するためには、企業がさまざまなセキュリティ課題に対処するためのアプローチを取り上げて、思うところを書いてみます。本コラムが少しでも読者の取り組みの参考になればと願っています。

## サイバーインシデントのグローバルな事例からの知見

　まず、サイバーセキュリティです。2017年に「WannaCry」というランサムウェア攻撃がありました。この攻撃はセキュリティパッチを適用していないWindowsシステムを標的とし、データを暗号化して身代金の支払いを要求しました。当時、150カ国以上に影響を及ぼし、数十万台のコンピュータが感染しています。被害がこれだけ広範囲に及んだことは、パッチ管理とソフトウェア更新の重要性を浮き彫りにしました。

　2020年には、米SolarWindsの「Orion」というソフトウェア製品のサプライチェーンを悪用した攻撃がありました。製品ベンダーによるソフトウェアアップデートという信頼されたメカニズムを悪用し、数千の企業と政府機関に影響がありました。製品のサプライチェーンを通じた攻撃は対処が難しく、グローバルなビジネスネットワークにおける脆弱性を示すと同時に、第三者によるリスク管理を強化する必要性が認識されました。

　グローバルに事業を展開する企業において問題となるのは、ITインフラの更新頻度やセキュリティ対策の徹底度には、国ごとに大きな差があるという現実です。そのため地域差を考慮したセキュリティ戦略を立案・実行する必要があります。

　ところが日本企業では、海外拠点のITインフラの状況や運用実態が現地任せになっており詳細に把握できていないケースが散見されます。まず、海外拠点の状況を詳細な管理実態を洗い出すことが今後のセキュリティ戦略を立案するための第一歩になります。

## 文化的感受性とコミュニケーションへの考慮
　異なる文化や習慣を持つ国々で情報セキュリティ対策を効果的に行うためには、文化的感受性と効果的なコミュニケーションが不可欠です。例えば日本では「情報の共有」よりも「情報の保持」に重きを置く傾向が見られますが、欧米ではオープンな情報共有と透明性が重視されます。

　このような文化的差異を理解し、異なる地域におけるセキュリティポリシーの策定や教育プログラムの展開においてはその差異を重要な要素として考慮する必要があります。そのうえで地域における推進体制を確立しながら、地域特有の文化や事情に応じたアプローチを採用し、地域ごとのセキュリティ意識を高めることが欠かせません。

　私の勤務先では各国で異なるデータ保護法に準拠するために、地域ごとにカスタマイズしたデータポリシーを制定して活動していました。セキュリティ教育でも、米国やアジア、欧州といった地域統括会社のセキュリティ推進担当が中心となって各国の制度や文化に合わせた内容でトレーニングし、従業員がセキュリティの重要性を理解しやすくする工夫を凝らしていました。

　さらに国際的なプロジェクトでは、異なる文化間でのコミュニケーションを円滑にするために、多言語対応のセキュリティプロトコルや文化的差異を考慮した協働のためのガイドラインを設けたこともあります。これにより、異なる文化的背景を持つチームメンバー間での信頼と理解を築き、効果的な情報セキュリティ対策を推進できたと考えます。

## 重要性増す世界各地域・各国の法制度への適応
　もう1つ、グローバル企業においては地域ごとの法制度に対応する必要があります。典型例がEUの一般データ保護規則（GDPR）です。GDPRでは個人データの扱いに関する厳格な規則が設けられており、違反すると企業は最大で年間売上高の4％、または2,000万ユーロ（約33億円）のうち高い方の罰金が科されます。GDPRはデータ主体の同意取得、データの透明性、データ漏洩時の報告義務など、企業に多くの責任を課しています。

　一方、米カリフォルニア州の消費者プライバシー法（CCPA）は、消費者が自身の個人情報について知る権利、その情報を削除する権利、および情報の販売をオプトアウトする権利を含む消費者のプライバシー保護を定めています。

　アジアでもいくつかの国が独自のデータ保護法を導入しています。例えば、シンガポールの個人データ保護法（PDPA）は、個人データの収集、使用、開示に関する基準を定め、データ保護責任者の指定を義務づけています。インドでは2023年8月にデジタル個人データ保護法案（The Digital Personal Data Protection Bill）が成立し、データ保護の新たな枠組みが導入されました。

　このような異なる地域での法規制に対応するために、複数の重要な要素に注意を払う必要があります。企業は活動する各地域でのデータ保護法の要件を理解し、それに従うことが不可欠です。これは、法律順守だけでなく、顧客との信頼関係を築き、保持するためにも重要です。

　順守の取り組みは、データ保護オフィサー（DPO）や専門チームによって運営され、常に最新の法律変更に対応できるようにすべきです。特にGDPRのような厳格な法規制下では、個人データの国境を越える移転は特別な注意を要します。さらに企業は適切なデータ保護措置が施されていることを保証し、移転先国の法規制も満たしていることを確認する必要があります。

　このような各地域・国によるデータ保護法規制への準拠・対応は一度きりの取り組みではなく、継続的な活動が求められます。法制度は常に改定されるからです。各企業は技術的、法的、文化的な側面を統合したアプローチを採用し、グローバルなビジネス環境におけるプライバシーとデータ保護の要件を満たす必要があります。そこまでやってようやくグローバル市場での競争力を保ちつつ、顧客の信頼を獲得し、維持できます。

## テクノロジーとITツールの選定も重要なミッション
　サイバー攻撃への対応、法制度順守のいずれについても、企業は適切なテクノロジーやITツールの選定・導入・活用が求められます。クラウドベースのセキュリティソリューション、エンドポイント保護、多要素認証などのセキュリティ技術を活用することが、グローバルな規模でのセキュリティ保護を実現するために欠かせません。適切なテクノロジーを導入していなければ、データ保護への取り組みが不十分であると見なされる可能性があるからです。

　しかし、これもまた難題であり、重要なミッションの1つです。テクノロジーやITツールを導入・活用するためには、地域ごとの法規制やインフラの違いを十分に考慮する必要があります。単に技術的な問題だけでなく、文化的、組織的な課題も含まれます。サイバーインシデントの情報を収集し、文化的感受性を持ちながら、適切なセキュリティ戦略と教育プログラムを展開することが、企業の貴重な情報資産を保護する上で不可欠なのです。

## 情報セキュリティ分野での革新を
　情報セキュリティ、なかでもサイバーセキュリティは、企業がグローバルな市場で競争力を維持し、顧客からの信頼を確保するための基盤となります。ここでは技術の進化、法制度の変化、そして文化的差異の理解という3つの柱を不可欠な要素として取り上げました。サイバーセキュリティ強化の取り組みは、これらの要素を統合的に考慮し、進化する脅威への継続的な対応により企業の持続可能な成長と顧客の信頼獲得を実現することが可能となります。

　これらの取り組みには完了はありません。最新の情報を感度高く把握し、常に柔軟かつ効果的に対応できる体制や取り組みを確立することが求められています。それは終わりのない旅路でもあります。未来を見据え、企業は新たなチャレンジの機会と捉え、革新を続ける必要があります。私としましては、今後とも読者の皆様と一緒に議論し、知見や実践を深めていきたいと考えています。

※本記事は、[CIO Loungeウェブサイト](https://www.ciolounge.org/)に寄稿されたコラムを元に掲載しています。

### 筆者プロフィール
![img](https://storage.diamondv.jp/photos/inserted/x6iQC5MttiJb8fqJr9jaka/e52b77dc-50e5-43d2-904e-08849cca8af2.png)

 **東本 謙治（ひがしもと けんじ）**  

1956年神戸市生まれ。1979年松下電器産業（当時）入社。情報システム部門において全社経理システムの開発・運営、全システムの基盤技術・運用を担当。2005年の情報セキュリティ本部発足に伴い、グローバル情報セキュリティ施策の立案に携わる。以降、定着化やCSIRT立ち上げなどを担当し、2016年退職。2016年から5年間、監査法人において関西企業を中心として活動、2021年退職。2023年9月CIO Lounge加入。妻との旅行が趣味。


経営戦略としてのセキュリティ——グローバル企業が直面する課題と解決策

## 自部門の「掌握」とビジネス現場への「越境」から始める
 **鈴木** 　私はITリーダーが明日から実践すべき方向性には二つあると考えています。一つは「自部門の深掘り」、運用保守やヘルプデスクといった大きな枠組みでの管理に満足せず、その内部で流れる業務プロセスやデータを精緻に把握することです。情報システム部門は社内で最もデータにアクセスしやすい特権的な立場にあります。その特性を生かして、まずは自部門のデータを徹底的に可視化し、自分たちの業務をデジタルで掌握すること。この「足元の固め」が、他部署への提案における説得力の源泉になると確信しています。もう一つは「ビジネス現場への越境」です。サイボウズには自社製品を使い倒し、開発部門へフィードバックを送る文化が根付いている一方、依然として「ビジネス」との距離を感じる場面もあります。自社の売上がなぜ上がっているのか、現場でどのような営業提案が行われているのかを知らないことは、ITによる価値創造において最大の障壁です。リーダー自らが現場を知る仕組みを作り、視野を広げることが不可欠だと私は考えます。矢島さんは「最初の一歩」をどう定義しますか。

 **矢島氏** 　鈴木さんが指摘した方向性は、ITリーダーの基盤となる行動です。マネジメントの観点からは、部下が新しいことへ挑むことを奨励する空気感を作ることが重要です。例えば、自社製品を使う中で得た「もっとこうあるべきだ」という発言を、開発サイドや事業サイドへ能動的につないでいく環境を整えることです。リーダー個人としては、常に信念を持ち、経営層に直言する覚悟が求められます。私はよくスキーの「止まる練習」を例に出します。全力でスピードを出せる人は、アイスバーンでも即座に止まれる自信がある人です。ITプロジェクトも同様で、撤退や修正の判断基準を明確にして「いつでも止まれる（退ける）」というガバナンスと自信をリーダーが持てば、組織の変革スピードは飛躍的に向上します。確かな実力と信念を持つリーダーにとって、活躍の場は市場に溢れています。「止まる自信」を胸に、恐れずに提言を続けることが、結果として組織を正しい方向へ加速させるのです。

![img](https://storage.diamondv.jp/photos/inserted/feGdPzB35cQgziBPfGYBNL/b9316be2-bc5a-49d1-9201-f3c8be4f655f.jpg)

## 「目的の階層」を上げて組織の対立をエネルギーに変える
 **鈴木** 　「止まる自信がスピードを生む」という話は、非常に励みになります。しかし、新しい技術を導入しようとすると、必ず現場との摩擦が生じます。現在サイボウズでは、生成AIの利用ルール策定において、現場の「自由に使いたい」という熱意と、情報システムが守るべきリスク管理の間で葛藤があります。「社内の全データを学習させてCEOの分身を作りたい」といった壮大な要望に対し、データの流出リスクをどう回避するか。私たちは単にルールで縛るのではなく、「あなたのやりたいことを止める気はない。だが、このリスクをどう一緒に解決するか」という対話を重視しています。数カ月に一度は現場へ足を運び、直接対話を重ねていますが、こうした部門間の抵抗や対立を乗り越えるための秘訣を伺えますか。

 **矢島氏** 　現場の抵抗は、変革が起きている証左であり、対立するエネルギーはそれ自体が貴重な資源です。これを解消する鍵は、議論のスコープ（範囲）を広げ、目的の階層を上げることです。対立の多くは「手段」のレベルで起きています。その場合、一旦手段から離れ、何を達成したいのかという「目的」に立ち返ります。もし目的のレベルでも合意できなければ、さらに上位の「共通の理想」へと議論を引き上げます。私がかつてパナソニックで欧州拠点のIT統合を主導した際、各国の担当者が自国の手法を主張して譲らない場面がありました。そのとき私は「今は競合他社という巨大な脅威と戦っている。ここで内輪揉めをしている場合ではない」と説きました。「サイボウズをより良い会社にして、社会へ貢献する」という最上位の目的を否定する人は誰もいないはずです。手段の衝突を上位目的の統合へと昇華させることで、対立するパワーを建設的な推進力へと変換できます。

## 「責任の分離」と「長期的ビジョン」の提示
 **鈴木** 　目的の階層を上げることで、対立を力に変える手法は非常に有効ですね。一方で、経営層に対する「価値の翻訳」にも難しさを感じています。売上を直接作る営業部門などと違い、情報システム部門の「運用保守」や「負債解消」といった守りの投資は、短期的利益を重視する経営層には理解されにくい側面があります。ITが正常に機能しているときほど、その価値は埋没しがちです。サイボウズでも、インフラ投資を「経営の言葉」でどう納得させるか模索しています。経営層に対し、目に見えにくい投資の重要性を説くための具体的なロジックを教えてください。

![img](https://storage.diamondv.jp/photos/inserted/feGdPzB35cQgziBPfGYBNL/bac54815-f0b4-4cbe-b885-cc42c3cd5f8d.jpg)

 **矢島氏** 　経営層への説得において、私が重視してきたのは「責任の分担」の明確化です。IT部門の役割はユーザーが求めるスペック通りの「最高の道具」を提供することにあります。しかし、その道具を使って実際にビジネス成果を出すのは、使用する事業部門の責任です。システム投資の決済時には、要望を出した部門に対し、そのシステムでどのような成果を5年間で「刈り取る」のかをコミットさせます。人事が採用した人材を、現場がどう活かして成果を出すかが現場の責任であるのと同様に、ITも「道具を使い倒して成果を出す」責任は事業側にあります。この切り分けを経営会議で公認させることで、IT部門は不当なプレッシャーから解放され、本質的な基盤投資の議論に集中できるようになります。また、中長期的な価値については、企業の長期ビジョンから逆算する論理が強力です。私がヤンマーのCIO時代に農機へのSIMカードの導入を推進した際、当初はコスト負担を巡って議論が停滞しました。そのときは「将来の農業自動化には不可欠」という社長の長期的決断により、最終的に通信コストを劇的に下げ、多大な経済合理性を生むに至りました。ITを「特定のコスト」ではなく、組織の生産性を底上げする「インフラ」のような共有財として認識させることが、経営とITを一体化させる鍵となります。

 **鈴木** 　道具を作る責任と、成果を出す責任。この明確な定義は、経営層との合意形成において非常に重要ですね。ITを空気のように当たり前のインフラとして整え、経営が目指すSDGsや生産性向上などの課題に対し、計測基盤として貢献していく姿勢を大切にしたいと思います。最後に、現場で奮闘するリーダーたちへ、メッセージをいただけますでしょうか。

 **矢島氏** 　現代は、テクノロジーが経営の他の全要素を規定する時代です。もはやテクノロジーはサポート役ではありません。中期経営計画も人材育成も、技術進化を前提に設計されるべきです。ITリーダーの皆さんは、もっと自信を持ってください。自分が持つ知見を、経営陣に対して「あからさまに」提示し、そのインパクトを提言すること。控えめな態度は、この時代においては職務怠慢です。テクノロジーという強力なレバレッジをどう経営に組み込むか、そのビジョンを堂々と語ってください。

 **鈴木** 　ありがとうございます。私たちは今、IT部門の立ち位置が激変する歴史的な変革期の只中にいます。従来の「守り」という役割定義に縛られず、この大きな波の先頭に立って、自らが表舞台の主役として未来を設計していく。そんな気概を持って、明日からの一歩を踏み出していきたいと思います。

![img](https://storage.diamondv.jp/photos/inserted/feGdPzB35cQgziBPfGYBNL/c4d6a191-de7b-4afc-bd89-81007956f0e6.jpg)

※前編はこちら  
　https://www.diamondv.jp/article/usoKi7PeyamQnNkSBSsF9v

■ 経営とITをつなぐ、サイボウズ発の情報サイト「IT Foresight」  
　https://cybozu.co.jp/it-foresight/


サイボウズCIO鈴木秀一がCIO Lounge 矢島孝應氏に聞く前後編インタビュー。後編では、目的の階層化や責任の分離など、変革推進の実践的アプローチに迫ります。

日本企業におけるITガバナンスの変革 経営戦略とテクノロジーが融合する新時代のリーダーシップとは？「実践編」

　筆者は現在、ITコンサルタントとして活動しています。最初からそうだったわけではなく、一般企業のIT部門がキャリアのスタートでした。以来45年、大変な思いもしましたが、さまざまな機会や運に恵まれて今日に至っています。ここではそんな筆者が経験した転機と折々の気づきを書かせていただきます。一言でまとめると、「変化対応＝成長」だったと思います。

## 新人SEとしてプログラミングやシステム開発を経験
　1979年に大学を卒業した筆者は、松下電器産業（現・パナソニック）に入社。システムエンジニア（SE）の職務に就きました。コンピューターに詳しいわけではありませんでしたが、当時の配属はそんなもの。やるしかないと腹をくくったのですが、困ったことがありました。

　同期10人のうち筆者だけが松下通信工業に配属。1979年はオイルショックからの復活途上で松下電器も採用を絞っており、身近な先輩も6歳ほど離れていて、新人の筆者からみれば雲の上の人でした。当時はメインフレームを活用した自社システム開発の全盛期。当たり前ですが、SNSはもちろんインターネットも電子メールもありません。同年代のSEとの接点がほぼなく、自己成長の確認方法に戸惑ったのです。

　先輩から「COBOLプログラムはできて当たり前。アセンブラが使えてようやく一人前」との指導を受け、その言葉を頼りにCOBOL1年、アセンブラ1年を自らの目標としました。プログラミングだけでなく、当時はシステムの企画から設計、開発、テスト、導入を1人で行うスタイルです。今から考えると牧歌的な時代ですが、なんとか目標を達成してSEとしての基礎固めができました。

　その頃はIT部門の名前が、電算システム部から情報システムセンターに変わった時期でした。特定業務の合理化を担う部門からさまざまな業務をシステム化する専門部門に変化した時代でもあります。そんな中、一人前の定義も、アセンプラのプログラミングができる人材から情報をハンドリングできるプロセス設計者に変わったと思います。プログラミングに加えて設計から導入をこなしたおかげで時流に乗ることができました。

## 海外出向でオープン化、パッケージ利用を経験
　最初の転機は1993年、米国にあった製造会社のIT責任者として出向した時に訪れました。松下通信工業には5つの海外製造会社がありましたが、設立時期が異なることもあってITは各社各様でした。基本機能は「受発注＋決算」と変わりませんが、地域本社提供のシステム利用、松下電器貿易が作成したシステムを利用、「IBM System/36」のRPGで独自開発したシステムを利用──などとバラバラだったのです。

　そこで各社で運用可能であり、日本から一定のサポートが可能であるという条件で、海外製造会社のための標準システムの構築が重要テーマとして浮上。筆者は企画から参画し、導入までを担当しました。メインフレームやオフコンからオープン系サーバーへの移行期で、海外要員が維持運用できることを前提にパッケージを選定。3年間（1年開発・2年展開）で全5工場に導入しました。

　この仕事を通じて、スクラッチ開発からオープン系のパッケージ活用へというITの新しい波を経験し、自前主義から脱却して将来を見極めながらベストの選択を行うことの重要性、それに海外要員とのコラボレーションの重要性、を学ぶことができました。余談ですが、当時選んだのは米ゼロックス（Xerox）が開発した「ChESS（チェス）」というパッケージでした。この製品は現在、富士通の「GLOVIA」にマイグレートされています。

## 視野の拡大、ステークホルダーとの合意に悪戦苦闘
　次なる転機は1996年に日本に帰任し、松下電器本社の情報システムセンターにて多くの全社プロジェクトに参画したタイミングでした。松下通信工業や海外製造会社ではステークホルダーが少なく、合意形成や承認（実施決裁など）はシンプルでした。松下電器産業では逆にステークホルダーが多く、全社システムとなると合意形成を得るのも一筋縄ではいきません。

　特に関係したプロジェクトの多くはERPパッケージを活用していたため、Fit to Standardか、アドオン開発するかを巡って、何度も業務サイドとの丁々発止のやり取りをしました。米国の製造会社でのパッケージソフトの導入経験は使い物にならず、慣れない根回しに悪戦苦闘の日々を過ごしたことを今も鮮明に覚えています。

　それでもプロジェクト関係者の努力で初期の目標（納期・コスト・効果）は、おおむね達成できました。この過程で、ベンダーはパートナーとして敬意をもって対峙することの大切さを学びました。

## 2014年、突然のアウトソースで外資系に移籍
　筆者にとっての大きな転機はもう1回ありました。パナソニックが情報システムを日本IBMにアウトソースするのに伴い、2014年7月に日本IBMの子会社、日本IBMサービス（ISC-J）に約600人の仲間と移籍することになったのです。35年間過ごしたパナソニックのIT部門から外資系への移籍は異なる企業文化との触れ合いであり、文字どおり驚きの連続で今までの価値観の否定でした。

　今だから話せますが、アウトソースの話が出るまではパナソニックで定年を迎え、完全リタイア（“サンデー毎日”状態）するとイメージしていました。本当に大きな転機でしたが、期せずして59歳から新たな環境（職場）に身を置き、2018年からはITコンサルタントとして多くの企業のIT部門の方々などと接点を持たせていただき、各社各様の風土を肌で感じる毎日です。この8年間を振り返ると「臆せず融通無碍」がキーワードになったと思います。

※本記事は、[CIO Loungeウェブサイト](https://www.ciolounge.org/)に寄稿されたコラムを元に掲載しています。

### 筆者プロフィール
![img](https://storage.diamondv.jp/photos/inserted/9mWS4UpLiPZHcP7cGe4kQE/fa6f9f5e-3072-4053-b502-cc1adef42750.png)
 **井上 尚（いのうえ ひさし）**   
1979年、松下電器産業（現・パナソニックホールディングス）に入社。SCM系アプリケーションSEとしてキャリアをスタート。米国の製造会社への出向などを経て、本社のシステム構築に参画。2014年、所属部門が日本IBMの子会社となり移籍。各種のパッケージ（SAP、Oracle、GLOVIA、Teamcenterなど）導入プロジェクトに異なる役割（PMO、PL、PM等）で携わった経験から、現在はITコンサルタントとして活動中。趣味は神社仏閣巡り、ウォーキング。


CIO Loungeは、経営とITの一体化を目指すCIOやIT責任者が集う場であり、日本企業のIT化を支援している。経営者とCIO間のコミュニケーション不足や中小企業のIT活用不足を解消し、デジタル化を加速させる取り組みとは。今回は正会員の井上 尚氏のコラムを掲載する。

「変化対応＝成長」IT部門のSEからITコンサルタントへの道のり

## 「経営とITの分離」という構造的問題
 **鈴木** 　サイボウズには情報のオープン性を非常に重視する文化があり、経営層とのコミュニケーションや情報のインプットという点では、非常に恵まれた環境にあります。しかし、得られた情報を具体的なIT戦略へと昇華させ、売上や経営指標にどう直結させるかという点は、まだ模索中です。特にIT部門は支援部門としての側面が強く、直接的なビジネス貢献を定量化することの難しさを感じています。矢島さんは多くの企業でCIOを歴任されましたが、日本企業の成長を根本から阻んでいる構造的な問題はどこにあるとお考えでしょうか。

 **矢島氏** 　日本企業の多くは依然として「経営とITの分離」という深刻な病を抱えています。その背景には、日本の製造業が長年維持してきた一種の階層意識があります。かつては技術、経理、営業が上位に置かれ、情報はそれらを下支えする補助機能でしかありませんでした。IT担当者は「3K」と揶揄されるほど過酷な環境でシステムを支えながらも、経営層から正当な評価や処遇を受ける機会が乏しかったのです。この歴史的背景が、経営者がITを「事務効率化の道具」と見なしてしまう、誤った認識を植え付けました。その結果、優秀な人材は処遇の良いベンダー側へ流出してしまっています。米国ではエンジニアの7割が企業内に所属するのに対し、日本ではエンジニアの7割が外部のベンダー側に偏っており、この歪な構造が定着した原因の一つがこの誤認にあります。この圧倒的な企業内エンジニア数の格差こそが、日本のIT体質を脆弱にし、経営の足かせとなっている本質的な問題です。

![img](https://storage.diamondv.jp/photos/inserted/usoKi7PeyamQnNkSBSsF9v/4cbe0897-befb-462f-9417-d19c4365b162.jpg)

## 全体最適を司る「プロセスオーナー」と「データオーナー」の確立
 **鈴木** 　IT部門を組織の最下層と見る意識は、現場のキャリアパスにも影響しています。IT担当者はテクノロジーやデータの管理といった専門領域には習熟しやすいですが、エンタープライズ・アーキテクチャの最上位にある「ビジネス・アーキテクチャ（BA）」、つまり経営戦略そのものの設計に踏み込むことには心理的にもスキル的にも高い障壁を感じがちです。サイボウズでも、現場の利便性を優先してシステムを業務に合わせようとする「個別最適」の要求が強く、それが保守コストの増大を招くジレンマがあります。ITリーダーがこの「BAの壁」を乗り越え、経営と実効性を持ってつながるには、具体的にどのような視座を持つべきでしょうか。

 **矢島氏** 　CIOが企業全体のデータと業務プロセスを完全に把握し、組織の縦割りを貫通する「プロセスオーナー」として機能するのが理想です。組織は放置すれば必ず自部門の利益を優先する縦割りになります。例えば在庫管理では、経営はキャッシュフローのために減らしたいと考え、営業は売り損じを防ぐために持ちたいと考え、工場は生産効率の観点から大量に作りたいと考えるものです。これらの相反する利害を、データに基づき横串で調整して最適解を提示できるのはIT部門だけです。製造業の命である部品表（BOM）にしても、設計から製造そしてサービスまで一連のライフサイクルとして情報を一括管理する「データオーナー」がいなければ、全社最適は実現しません。業務間の投資プロセスをすべて掴むプロセスオーナーとしてBAの領域に踏み込むこと、これこそが、IT部門が経営の主導権を握るための唯一の道なのです。

 **鈴木** 　お話を伺い、IT部門の強みは「情報の流れをせき止めない横串の視点」にあるのだと確信しました。しかしながら保守・運用に長年従事してきた担当者にとって、自ら企画し、経営を動かすインサイトを提示するのは、これまでの経験にはない飛躍を求められる作業です。サイボウズでも、プロジェクトによっては「言われたことを正確にやる」という受託的な進め方になってしまうケースがあり、そこから自発的な創発を促すことに難しさを感じる場合があります。運用の安定性を維持しつつ、現場の意識を「攻め」へと転換させるための実践的なアプローチはあるのでしょうか。

 **矢島氏** 　まずは「守り」の価値を経営戦略上の強みとして再定義してください。水道や鉄道といった社会インフラが当たり前に動くことに対しては誰も感謝しませんが、それらが止まれば社会は麻痺してしまいます。ITも同様に、組織にとって不可欠な基盤を支えているという誇りを持つべきです。その上で、攻めの姿勢を養うための仕組みが求められます。例えば、業務時間の5%を自由な研究や開発に充てるルールを設け、若手の創発性を引き出す試みが有効です。また、これからのAI時代においては、データの整理や分析の一つをとってもテクノロジーの深い理解が不可欠です。IT部門がデータから「特定の行動をする顧客は買い換え確率が数倍に跳ね上がる」といった経営判断を加速させる具体的なインサイトを導き出し、経営者の興味を引くことができれば、組織内での立場は劇的に変わります。

## テクノロジーを起点とするリーダーシップ
 **鈴木** 　サイボウズではkintoneを活用し、現場の人間が自らの課題を自ら解決する「ITの民主化」を推進しています。IT部門を単なる開発の請負から解放し、より高度なガバナンスや戦略立案へシフトさせるのが狙いです。しかし、現場の自由度を高める一方で、マスタデータの統一性やセキュリティをどう担保するかという新たな課題も浮上しています。矢島さんが提唱する「全社員SE化」というビジョンは、組織全体をどのように変容させ、どのような着地点を目指すものなのでしょうか。

 **矢島氏** 　現代の経営環境を分析する際、私は「TPES」という概念を提唱しています。従来の「PEST（政治、経済、社会、技術）」という枠組みでは、テクノロジーは環境因子の一つに過ぎません。しかし現在は、テクノロジー（T）が政治（P）や経済（E）、社会（S）のあり方そのものを規定し、変容させる主導的な役割を果たしています。言い換えれば、テクノロジーを見通せない経営者が正しい中長期戦略を立てることは、もはや不可能なのです。この認識の下で進める「全社員SE化」とは、全員がプログラムを書くことではありません。ITを「読み書きそろばん」のような必須リテラシーとして全社員が使いこなす状態を指します。現場が自分たちの課題をノーコードツールなどで自律的に解決し、IT部門はそれを見守りつつ全体最適の観点から「どこを縛り、どこを現場に委ねるか」という高度なガバナンスを効かせる。ITを全社員の武器へと民主化し、組織全体の機動力を最大化することこそが、私たちが目指すべき最終的な着地点です。

 **鈴木** 　これまでの議論を通じて、経営とITの接続とは、単に会議に同席することではなく、テクノロジーを起点にビジネスの構造そのものを再設計することだと理解できました。「守り」で得られるデータインテグリティの確保こそが、AI時代の「攻め」の経営を支える最強の基盤というわけですね。サイボウズにおいても、現場の創発力を活かしつつ、経営を加速させるプロセスオーナーとしての役割をIT部門が担えるよう、私自身が先頭に立って変革を推進していきたいと思います。

 **矢島氏** 　大いに期待しています。テクノロジーを理解していない経営層は、これからの時代を生き残れません。逆に、テクノロジーを自らの武器として理解し、プロセスとデータを統合できるリーダーが経営の中核に座れば、日本企業は劇的な進化を遂げることができます。IT部門が経営と現場をつなぐ「懸け橋」となり、テクノロジーを全社員の共通言語へと変えていく時、日本企業の真のDXが完遂され、新たな成長軌道へと復帰することができるはずです。

![img](https://storage.diamondv.jp/photos/inserted/usoKi7PeyamQnNkSBSsF9v/8bf285ae-1747-4e83-a2d7-5ffd293cdafc.jpg)

――後編では「実践編」として、IT部門が経営を動かしていくための具体的なアプローチを紹介していきます。
 
■ 経営とITをつなぐ、サイボウズ発の情報サイト「IT Foresight」  
　 https://cybozu.co.jp/it-foresight/


サイボウズ株式会社CIO鈴木秀一がCIO Lounge 矢島孝應氏に聞く前後編インタビュー。前編では、「守り」の暗黙知をデータへ変換し、テクノロジー起点で経営戦略を描く「攻め」のマインドを掘り下げます。

日本企業におけるITガバナンスの変革 経営戦略とテクノロジーが融合する新時代のリーダーシップとは？「マインド編」

　皆さん、こんにちは。私は1980年に精密機器や測定機器、医療機器などを製造する島津製作所に入社し、44年間、同社で勤務してきました。さまざまな職務を担った中で最も長いのがIT部門であり、在籍年数は累積25年に及びます。この間、IT部門に求められる役割は大きく変遷し、非常に重要な部門になったことを実感しています。以下では4つの段階に分けてその変遷を述べながら、今後のIT部門の役割について説明させていただきます。

　入社した1980年代前半当時はバッチシステムからオンラインシステムへの切り替え期でした。私自身、経理・会計業務のオンライン化に取り組みました。当時はパッケージなどありませんから、経理・会計部門と仕様の相談をしながらシステムを開発しました。

　そのときの目的を思い起こすと、経理・会計部門の業務効率の改善とともに手計算によるミスを撲滅することでした。つまりIT部門の役割は、特定の限定された部門や業務をシステム化することだったわけです。私はというと、プログラミングの技術の習得とともに、経理・会計業務の知識、特に経理仕訳のノウハウを身につけました。

　この仕事の後、営業関連業務のシステム化に取り組むことになりました。具体的には海外の販売系子会社のシステム開発と、国内では物流を含む販売システムの開発です。当時はパッケージソフトウェアが出回り始めた時期であり、海外販売会社のシステム開発ではパッケージを活用しました。個別の国や地域ごとにシステム化したため、取引先や品目などのマスターファイルの統一にかなり苦労したことが記憶に残っています。

　国内販売のシステム化では、当時普及し始めたEDIを活用して代理店や取引先とのネットワークを構築しました。それを通じて蓄えたデータを活用することがポイントの一つでした。当時、よく使った言葉に「MIF（Machines In the Field：市場における累積稼働台数）」があります。営業部門長と一緒に、代理店チャネルの管理（効率性、施策のデータによる検証）にMIFを活用し、時期により市場カバー率の向上を目指す時期と勝率の拡大を目指す時期を使い分け、代理店評価などにも取り組みました。

　この頃、IT部門に求められた役割を分析すると、全体最適の視点でシステムを構築すること、そしてデータを活用して事業の拡大に寄与することへと変わったと考えます。実際に私もマテリアルフローやキャッシュフロー全体として業務やシステムを把握・理解しました。この経験は、その後に本社の海外営業部長や中国に赴任して事業責任者になった時、大いに役立ったと思っています。

　その後、IT部門はERPシステムの導入に進んでいくことになります（島津製作所ではOracle E-Business Suite〈EBS〉を採用）。ご承知のとおり、ERPは個々の業務をシステム化するパッケージとは全く異なる思想で作られており、どのように活用すれば事業の拡大につながるかのアイデアが重要です。我々はERPの導入に併せて営業の自動化、工場における倉庫・ラインの管理、開発におけるPDCAの見える化にも取り組みました。

　これが、ITを活用してあらゆる局面で事業拡大に寄与するという、IT部門の役割の3段階目です。ERPは事業と直結しており、事業とそれを構成する業務の関わりを十分に理解して導入にあたらなければなりません。私はERP導入に携わった後、分析機器事業の事業部長を拝命したのですが、このときの経験が大変役に立ったことを実感しています。

　では4段階目とは、どんなものでしょうか？ それはデジタルへの対応であり、顧客ニーズの変化への対応でもあります。上述の事業部長を務めた時、当初は機器の開発・製造・販売がミッションでした。ハードウェアの性能・機能・品質が最重要だったのです。しかし最近ではソフトウェアの重要性が飛躍的に高まっています。

　一例が機器を顧客のネットワークに接続すること。病院や研究機関ではLAN経由で上位システム、あるいはラインに機器を接続することが求められます。つまり分析機器は単独で動作するのではなく、一連の業務プロセスの中で求められる役割を果たす存在として位置づけられるのです。必然的に顧客のデジタル化やDX、セキュリティを強く意識する必要があります。

　こうなると機器の開発者や技術者だけで十分かというと、そうではありません。社内の業務や情報システムで経験を積んできたIT部門の技術者が社外、顧客のところで活躍する時代に入りつつあると思います。IT部門は社内のシステムを通じて事業に貢献することに加えて、事業そのもの、すなわち製品やサービスの提供に直接関与するようになるのです。

　以上、IT部門の役割の変化を4つの段階に分けて説明し、それぞれの段階で何が求められ、どのように対応してきたかを述べてきました。これらの変遷を経て、IT部門は内部のサポートから事業の成長を推進する重要部門へと進化してきたことがわかります。

　今後は顧客のニーズに直接応えるIT技術者が求められますから、これに対応するためにIT部門はこのような役割を果たせる人材を育成することが重要となります。皆様の一層の活躍を期待しております。

※本記事は、[CIO Loungeウェブサイト](https://www.ciolounge.org/)に寄稿されたコラムを元に掲載しています。

### 筆者プロフィール
![img](https://storage.diamondv.jp/photos/inserted/goLCjuPcT3X7XHGgeJ4uYT/745f6611-f03f-41b4-83c2-51176c9824fc.png)

 **馬瀬 嘉昭（ませ よしあき）**  
1980年に島津製作所に入社。情報システム部門で約17年間、基幹系システムの開発に従事。その後、経営戦略室に異動し、事業戦略の立案や中国の販売会社に副責任者として駐在。2007年に本社に戻り、ERPシステムの導入に関わった後、CIOとしてシステム、製造の責任者となり、また、中国総責任者、分析計測事業部の事業部長を経験。2023年4月より役員を退職し、シニアエグゼクティブという立場で主に臨床事業のサポートを行っている。趣味は読書（数学系、天文学系のやさしい本）しながらワインを飲むこと。


CIO Loungeは、経営とITの一体化を目指すCIOやIT責任者が集う場であり、日本企業のIT化を支援している。経営者とCIO間のコミュニケーション不足や中小企業のIT活用不足を解消し、デジタル化を加速させる取り組みとは。今回は正会員の馬瀬 嘉昭氏のコラムを掲載する。

今、求められるIT部門の役割をその変遷から考える

　プロジェクトは生き物で、1つとして同じものはありません。ゆえに私たちは大きな失敗を起こさないようにプロジェクトマネジメントを勉強し実践経験を積みます。しかし、それでも失敗するのはなぜでしょうか。

　私は1989年松下電器産業（現・パナソニック）に入社して以来約35年間、社内情報システム部門に所属し、数々の大規模なプロジェクトに参画してきました。プログラマー、システムエンジニア、プロジェクトリーダー、プロジェクトマネジャーと立場はその時々で変わりましたが、一貫してシステム開発・導入プロジェクトに携わってきました。楽だったと思えるプロジェクトは記憶になく、常に全力で突っ走っていたように思います。

　そんな経験から、プロジェクトの成否に直接影響することが2つあると考えます。1つはやはり「プロジェクトの成否は人次第」であることです。プロジェクトには計画を立てても達成できない、業務知識が乏しく要件定義に穴がある、テストの網羅性が不足、結果としてコストの抑えが効かない、など人に起因するリスクがたくさんあります。

　そのため、人数合わせのような体制だと、どんな高レベルのプロジェクトマネジメントも機能しません。社運をかけた全社プロジェクトともなれば、その会社で一番優秀な人をアサインしなければなりません。また、ご支援いただくITベンダーには該当案件に長けたエース級をお願いしたいところです。アサインする経営陣がそのことを認識していなければ、キックオフの時点ですでにマイナスからスタートしていることになります。

　もう1つが「組織風土」です。厳しさの中にもチームワークがあり、役割分担はするが壁は作らず、三遊間のゴロを積極的に拾いに行く、お互い声を掛け合い気遣う──といった風土はプロジェクトには必要なことです。うまくいっていないプロジェクトは、これらが欠落していることが多いのではないでしょうか。修羅場をくぐった経験豊富なメンバーであればこれらは自然にできます。

　そうは言っても、常にこれらが成立するとはかぎりません。たとえ脆弱な体制であってもプロジェクトを進行しなければならない状況は必ずあります。その場合、だれしも経験があると思いますが、コストと納期に融通性（バッファ）をもたせつつ、覚悟をして取り組むことになります。いったんプロジェクトが走り出すと、炎上でもしないかぎり、そう簡単にメンバーの交代・補強はできず後手に回るのが常ですので、プロジェクトマネジャーは先手先手でアラートを上げ、経営幹部はそれを直視しなければなりません。

## 私の失敗経験——どうにもならない初モノプロジェクト
　プロジェクト成否に占める「人」の割合が大ではあるものの、そう単純ではありません。要注意なのが“初モノ”のプロジェクトです。どういうことか、私自身の失敗例をいくつか紹介しましょう。

 **B2C ECシステムのスクラッチ開発プロジェクト（2008年前後）**  

　社内に経験者がおらず、要件定義から大手ITベンダーにも大きく依存しました。後から痛感することになるのですが、ECには社内業務システムにはない勘所が多く、特に商品をショッピングカートに入れてから決済までのプロセスは複雑です。品質担保に苦労し、本番稼働後もトラブルが多発しました。加えて本番前に「返品」の仕組みが要件定義から漏れていることが発覚したり、クレジットカードの与信ロジックに見落としがあったりと、本番前後は戦場と化しました。

　当時はまだECサイト構築用のパッケージが少なく、検討の結果、スクラッチ開発することになったのですが、知見のない初モノに取り組むことの難易度の高さは想像以上でした。今なら思いつく、ECサイトに精通した専門ITベンダーやエンジニアに参画してもらう手立てにも、考えが及びませんでした。当時は、次々に露呈する問題に1つ1つ取り組む以外にありませんでした。

 **海外B2B顧客向けホームページ構築プロジェクト（2013年前後）**  

　そもそも情報システム部門に社外向けWebサイト構築の経験がないのに、開発を担当してしまったプロジェクトです。ITベンダーの話を聞いたり書籍などで必死に勉強したりしましたが、CMS（Content Management System）の選定を誤り、購入したパッケージを半年後に捨て、イチからやり直すという損失を出しました。目利きができなかった／ベンダーの謳い文句が本当にそうなのかを突き詰められなかった、という大きな反省と教訓となりました。

## だれが取り組むかで結果はいくらでも変わる

　もちろん初モノでも成功したプロジェクトもあります。これについても紹介します。

 **AWSクラウドの活用（2017年前後）**  

　今なら想像できませんが、当時、クラウドは脆弱でリスクが大きいという風潮があり、大企業の情シスほど採用に二の足を踏んでいました。私は論理的に説明がつかないこの風潮を突破したいと考え、オンプレミスで稼働していた「一般消費者向け大規模会員サイト」のAWSクラウドへの移行を進言しました。

　情シスの上層部は「重要システムのクラウド化は時期尚早」といった感覚でしたので、簡単にはゴーサインが出ません。約2カ月にわたり毎週、幹部に説明して了承にこぎつけました。社内ではチャレンジングな取り組みと言われましたが、無事成功。後続のクラウドプロジェクトはやり易くなったと思います。

 **顧客接点強化のためのCDP構築プロジェクト（2018年前後）**  

　一般コンシューマーを対象としたCDP（Customer Data Platform）構築プロジェクトのケースです。私は途中参加でしたので、パッケージ選定は当初横目で見ていました。しかし手段先行の違和感があり、過去の反省（前述のCMS選定ミス）を踏まえて候補の各パッケージのベンダーを1人で訪問行脚し、パッケージ特性を深く調査しました。要件と照らし合わせた結果、選定とは別のSaaSパッケージを採用するべきと提案しました。

　そのパッケージはスタートアップで、付き合ったこともないベンダーのものだったため、情シス内では賛同されませんでしたが、ギリギリのところで食い下がり粘り勝ちしました。非常に優秀なベンダーSEの支援もあって、短期間でマーケティング部門が望む形をつくることができました。危うく説明力のなさを猛省し、ステークホルダーにご迷惑をかけるところでした。

## 人に恵まれるプロジェクトのほうが稀かもしれない

　会社の規模によって大きく異なるのは人財の豊富さです。情シスが100人いる企業と20人の企業では、プロジェクト運営に大きな差が生じます。加えて組織風土の差まであると相当苦労することになります。私は2020年秋、情シスだけで1,000人いる企業から20人の企業に転職しました。その後、2022年前後に携わったのが、大規模な基幹システム全面刷新プロジェクトです。

　すでにプロジェクトが開始されていましたが、広範囲かつ45年ぶりの全面刷新で移行難易度も高く、またITベンダーとしっかり組む経験のないメンバーで構成するのだから相当難航すると思いました。それでも、この全社プロジェクトの失敗はあってはならないものです。私も途中参加ながら全力を尽くし最後まであがく覚悟で推進したものの、懸念は現実になり、当初計画から1年延期した2023年5月に本稼働することとなりました。

　私もメンバーも疲弊する中、経営陣が全面バックアップし続けてくれたことが大きな救いでしたし、また今回の参画でプロジェクトメンバーの成長は著しく、苦杯をなめることでさらに頼もしくなったのは大きな成果でした。30年以上この仕事をしてきていても、合格点をとれないことに歯ぎしりをしながら、次の事業場横展開に取り組んでいる最中です。

　冒頭でも述べましたが、システム開発・導入プロジェクトは、人と人との共同作業の集合体であり、メンバーである「人」が最も重要な要素です。ちょっとしたことに気づく人、アクションをとってくれる人がいるかどうかで、結果は大きく変わります。100点はとれなくともコンスタントに合格点をとれるよう組織風土の醸成も含め取り組んでまいりたいと思います。ここ数年、内製化に舵を切る企業が増えているのはアジリティの確保だけでなく、内製化による経験や知識習得が組織力・プロジェクト遂行力を向上させることに直結しているからだと思います。

　最後に教訓を4つ挙げておきます。

①体制図に名前が入ったら体制構築完了したと安心しないこと  
②鳥瞰図やグランドデザインの書き物がないプロジェクトは危険  
③成果を示す数値目標がないプロジェクトも危険  
④QCDの納期を疎かにする人は信用できない  

※本記事は、[CIO Loungeウェブサイト](https://www.ciolounge.org/)に寄稿されたコラムを元に掲載しています。

### 筆者プロフィール
![img](https://storage.diamondv.jp/photos/inserted/poNp8Sna3CVfSXKsv3yRqf/d24b9360-5ba0-4a4a-89d5-327dfa993c47.png)

 **三好 力（みよし りき）**  

1989年、松下電器産業（現・パナソニック）入社。社内システムエンジニアとして製造事業部の販売管理・補修部品管理システム、SCM計画系、EC事業（現Panasonic Store Plus）、CRM系の開発プロジェクトを担当。2015年、パナソニックインフォメーションシステムズへ転籍、会員サイト「CLUB Panasonic」やCDPプロジェクトを担当。2020年に同社退職。2020年、住友精密工業入社、コーポレート戦略部門長補佐 兼 情報システム部長（現職）。趣味はドライブ。


CIO Loungeは、経営とITの一体化を目指すCIOやIT責任者が集う場であり、日本企業のIT化を支援している。経営者とCIO間のコミュニケーション不足や中小企業のIT活用不足を解消し、デジタル化を加速させる取り組みとは。今回は正会員の三好 力氏のコラムを掲載する。

皆さんの大規模プロジェクトは順調ですか？

　邦銀、特に大手銀行におけるオンラインシステム（勘定系システム）は、昭和40年代に導入された第1次オンラインから昭和末期に構築された第3次オンラインに至るまで、主に内製で開発されました。ここで内製とはシステム化の要件だけでなく、システム設計や開発・保守を自らの責任の下に行っている状態を指します。担い手の全員が社員ではないとしても、自らの責任の下であれば内製です。私は1990年に銀行に入社しましたが、当時は実際にそうでした。

　しかし時代が平成になると大きく変わり、請負契約によるシステム開発プロジェクトが増え始めました。SI（System Integration）という言葉が広まり、銀行を含む一般企業のIT部門では、要件定義などの上流工程と発注者としてのプロジェクト管理が主業務になりました。多くの企業のITが1990年代を通じて、それまでの内製から外部委託へとシフトしたのです。

　そこには、いくつかの要因があります。当時はダウンサイジングが進み、1人1台のPC普及やインターネットの登場など技術が急速に進歩した時期であり、その習得・活用に多くのリソースが必要となりました。IT部門で人材を採用したり、育成したりしていては間に合いません。それよりも専門的なスキルや人材を持つIT企業にシステム開発・保守を委託して効率的に新技術を導入し、柔軟にリソースを活用する意図があったと思われます。

　当時、外部委託の究極の形、つまりシステムの企画から要件定義・開発、保守・運用までの一切を外部に委ねるITアウトソーシングも広まります。この頃、ERPをはじめとするパッケージソフトが注目され始めました。その導入にはERPに長けたITコンサルティング会社に請負で委ねるのが適していたため、外部委託を加速させたと思われます。

　さらに「IT Doesn't Matter（ITは必要だが、競争力や収益向上には直結しない、注1）」という、そんな風潮もありました。

注1："IT Doesn't Matter"は米国の著述家、ニコラス G. カー（Nicholas G. Carr）氏が米ハーバード・ビジネス・レビューの2003年5月号に寄稿した論文のタイトル。

## DXの進展とシステム内製化
　その後、2010年前後の「バイモーダルIT」という考え方を経て、2010年代後半にはデジタルトランスフォーメーション（DX）という概念が登場します。そんな中で「DXのカギはシステム内製化である」という話を皆さんも耳にされたことがあると思います。説明は要しないかもしれませんが、あえて説明しましょう。

　経済産業省が2018年9月に公表したDXレポートでは「企業がビジネス環境の激しい変化に対応し、データとデジタル技術を活用して、顧客や社会のニーズを基に、製品やサービス、ビジネスモデルを変革すると共に、業務そのものや組織、プロセス、企業文化・風土を変革し、競争上の優位性を確立すること」と、DXを定義しました。データとデジタル技術を活用するのですから当然、IT部門は大きな役割を果たす必要があります。

　加えてビジネスモデルや企業文化の変革をするには、外部委託では心もとない状況です。またVUCAの状況下においては、顧客や社会のニーズが刻々と変化しています。業務効率化がシステム化の目的だった時代と異なり、顧客満足やユーザー体験向上を目的とする今日では、事前に要件を定義するのが難しいこともあります。つまり従来の請負契約・ウォーターフォールでの開発には限界があり、このような背景から内製への回帰が注目されるのです。

　もう1つ、「2025年の崖」問題もあります。温存してきたレガシーシステムがブラックボックス化し、変革の足を引っ張りかねないリスク要因になっていることです。DXを推進するにはこの問題の解決が不可欠であり、ブラックボックスを解消する有効な手段の1つが内製化です。

　こう見てくると1990年代の外部委託やアウトソース、2010年代の内製化はいずれも、時代背景や技術と事業の関係などの面で必然性があったと考えられます。時々の状況に対応してきたといっていいでしょう。したがって今日、内製化は簡単ではないとしても多くの企業に欠かせない取り組みであると考えられます。

## 内製化の取り組みでの“気づき”
**①社員エンジニア確保**  

　冒頭で「内製の担い手がすべて社員である必要はない」と指摘しました。一方で一定数は社員であるべきです。自らの責任ということはもちろん、ノウハウ蓄積やプロダクトへのモチベーションという観点から、これは重要です。かつてのようにシステムをリリースしたら完了というプロジェクト志向ではなく、リリース後の改良が必須のプロダクト志向を実現する上でも、社員の方がその意識が強いはずです。

**②新規システムから着手**  

　内製のプロダクト開発は何から始めるとよいでしょうか。答えは新規システムです。既存システムの改修や移行は環境が整っているというメリットがありますが、委託先ごとに異なる環境やドキュメント整備も十分でないなどハードルが高いからです。内製を成功させ、定着させるには新規システムから取り組む方がベターだと思います。既存システムは、更改などの時期を捉え、対処するのが適切ではないでしょうか。

**③ビジョンの明確化とステークホルダーの協力**  

　技術進歩のスピードが増す中、内製化するにしてもIT企業の協力は不可欠です。一方でユーザー企業の内製シフトは、SIerの主要な売上である請負型プロジェクトの減少を意味します。ユーザー企業としては、内製化により目指すところを明らかにし、SIerのビジネス機会を奪うだけではない、共に成長するビジョンを描く事が求められると思います。

　また内製シフトのためにIT部門の社員数を増やすには、その効果について経営への説明責任が生じます。内製化によるコスト削減は分かり易い効果ではありますが、それだけを目指してはSIerの協力は得難く、内製化により開発スピードや柔軟性向上などのアジリティを確保し、それをビジネスの成長や創造につなげていくというシナリオを描くことが重要であると考えています。

　以上、説明させていただいたように私はここ数年、内製化に取り組んできました。しかし投資額で見た割合は、まだ1割程度にすぎません。もっと増やしたいと考えていますが、簡単な施策ではないので拙速に進めるのはリスクも高いと感じます。技術的な準備だけでなく、ステークホルダーとの意思疎通をしっかりと行い、適材適所で適用範囲を見極め、社内だけでなく外部リソースをうまく活用しながら、バランスよく取り組んでいくことが大事と感じています。

※本記事は、[CIO Loungeウェブサイト](https://www.ciolounge.org/)に寄稿されたコラムを元に掲載しています。

### 筆者プロフィール

![img](https://storage.diamondv.jp/photos/inserted/vMvqYkbCvW2Vkd6jCbWcxu/d73b19e4-cadf-4009-8c26-f4b782a71457.png)
 **滝沢 卓（たきざわ たく）**  

1990年、三和銀行入社。経営統合によりUFJ銀行・三菱UFJ銀行を経て、auじぶん銀行に出向。その後セブン銀行に転じ、現在同社執行役員金融ソリューション部担当。その間、海外支店のシステム刷新プロジェクト、経営統合に伴うシステム統合、インターネットバンキングシステム構築などの開発プロジェクトのほか、システム部門の企画・管理業務にも従事する。趣味は、司馬遼太郎や池波正太郎などの歴史小説。


CIO Loungeは、経営とITの一体化を目指すCIOやIT責任者が集う場であり、日本企業のIT化を支援している。経営者とCIO間のコミュニケーション不足や中小企業のIT活用不足を解消し、デジタル化を加速させる取り組みとは。今回は正会員の滝沢 卓氏のコラムを掲載する。

外部委託から内製へのシフトは時代の要請、IT部門は慎重かつ大胆に準備しよう

　私は以前、大手電器メーカーにおいて国内外の事業所の業務改革とIT導入を担当していました。海外での勤務も多く、自社・他社を問わずさまざまな外国人の方々とコミュニケーションする機会に恵まれました。そんな方々との何気ない会話の中で、ITに関する認識の違いを痛感したり、自身の考え方やIT化の推進方法を見直したりといったことが多々ありました。どういうことか、まず事例を3つ紹介しましょう。

## ①役員クラスがシステムに精通している
　欧米の事業所で情報システムの説明を受ける際、役員クラスが説明してくれることが多くあった。日本の事業所とは違う点だが、理由は簡単に解明できた。システムはマネジメントのツールであり、経営の意思決定の仕組みだからである。上位役職者になるほどシステムを理解していた。これに対し、日本の業務部門責任者からは「システムのことはよく分からない」という言葉を聞く。

## ②月中と月末月初で業務量の差はない
　出張で月初めに北米財務部門を訪問した際、MLBの観戦に誘われた。月末や月初は決算時期なので「財務部門は忙しいでしょうし、そんな余裕はあるのですか？」と尋ねると、こんな回答が返ってきた。「毎日すべきことをしているので、月中と月末月初でプロセスの違いはありません。強いて言えば決算仕訳の作業が1つ増えるだけです」。実際、午後4時にはボールパークに観戦に出かけた。

## ③ERPの展開は長くても3カ月
　ERPのグローバル展開に携わっていた時、アジアのEMSメーカーとERPの導入展開の期間の話をする機会があった。「我々は6カ月で展開できる」と少し自信をもって話をすると、「初期導入の話ですか？ 完成したプロセスとシステムを横展開で活用できているなら、展開に6カ月かけるのでは長すぎますよね。長くても3カ月でしょう？」と言われてしまった。理解できる範囲を超えていたようだった。

　読者の皆様はどう思われるでしょうか？ 役員クラスがシステムに精通している／システムを使っているのだから月中と月末月初で業務量の差はない／ERPの展開にかけるのは長くても3カ月──。これらは多くの日本企業にとって目指したい姿ではあっても、意外と到達できていないのではないでしょうか？

　「いったい、彼我の違いは何なのだろう。これまでやってきたIT化の何が問題なのか。何かが稚拙なのか、あるいはIT化の押さえどころや勘どころを理解していないのだろうか」──。私にとっては自らの仕事を考える良い機会でした。実のところ、技術力などのスキルやITの知識の差に起因するものではないとも感じていました。

　熟考の結果、違いや差は「プロセス構築である」という仮説（私にとっては確信）が浮かび上がりました。ITを駆使して強いプロセスを構築するという意識の差や認識の有無が、上記のようなエピソードにつながっていると考えたのです。それ以降、海外に追いつくために、私はプロセス構築を心がけました。いくつかの具体例を紹介します。

## ①エンドツーエンドの業務プロセスの構築
　日本ではシステム構築における業務フローの定義は入力画面で始まり、出力帳票で終わる“システムフロー”になるケースが多い。例えば入力の元情報となるモノやデータが発生するプロセスが考慮されることはほとんどない。

　実はこのプロセスが煩雑で、データの精度や鮮度に課題を残していたり、煩雑さを回避するために必要な粒度を妥協していることが多く見受けられる。つまり使えない、信用できないデータを蓄積していることになる。そうではなく、発生のプロセスを明確にしてシームレスにデータや情報を入力できるよう、プロセスの簡素化と標準化が重要である。

　出力情報も同じだ。データを処理・蓄積することに安堵するのではなく、その先の経営の意思決定プロセスや各種改善活動までのプロセスに着目する必要がある。それがないシステムフローでは意思決定するために出力情報を元にしたデータの加工や補完が必要で、それに多くの工数が費やされる。

　結果、データを使って意思決定する時間がなくなり、人の経験や勘で意思決定してしまう。そうではなく、組織や役職の役割を認識し、各々の意思決定プロセスを明確にし、その意思決定が正しいか否かを問う振り返りのTPDCAまでを、エンドツーエンドの業務プロセスとして描き切ることが重要だ。

## ②原理原則に沿った業務プロセスの構築
　業務プロセスを定義する際に、「ケースバイケース」「臨機応変に対応」といった曖昧さを許したり、「例外」という特殊事情などを深掘りすることなく、現場対応のプロセスとして残したことはないだろうか？ 実は私、以前はそうすることが変化対応力を備えた柔軟なプロセスだと思っていた。しかしそれは日本人特有の《なあなあ》の間柄で仕事をすることで、プロセスとしては脆弱になる要因になる。

　そんなときに思い出したのが、松下電器創業者の松下幸之助氏の次の言葉だ。
### 「雨が降れば傘をさすような、こうした当たり前のことを着実に実践していくところに発展の秘訣があるというわけだ。ところが経営、商売となると、とにかく私心にとらわれて、傘もささずに歩き出すようなことをしがちなのである」
　プロセス構築も同じで、原理原則に沿っていることが重要である。具体的には、コードはどうあるべきか？／ルールは？／役割は？／判断は？ といったことを追求することが重要で、その結果できあがったものが経営管理を支えるプロセスになる。

## ③目標設定から落とし込まれた継続的な業務プロセスの構築
　多くの場合、当初のプロジェクト目標はどこへやらで、システム導入がゴールになっている。つまり企画書に明記した目標が、プロジェクトが進むにつれて雲散霧消することがある。それを回避するために、私は試行錯誤した末にシステム導入の前フェーズとして「価値観共有フェーズ」を設けている。

　そのポイントは「事業のトップを巻き込み、KGIを設定、全員で共有化する」「KGIが達成できるか否かを、すべての判断基準にし、あるべき姿を明確にする」の2点。これらをシステム導入を開始するためのゲートの成果物にしたのである。こうすれば、その延長線上で策定される業務プロセスとシステムは、必ず継続的で価値あるタスクとして落とし込まれたものになる。つまり、そのプロセスの実現の先には、経営効果が必然的に達成される。

　──改めてこのように説明すると、いずれも当たり前で基本的なことだなと感じます。一方で全員が同じ思いになるには難易度が高いと今も実感していますし、そうだからこそ常に強く意識し続ける必要があります。

　加えて言えば、このことはデジタルトランスフォーメーション（DX）の推進に欠かせないとも思っています。IT化をうまく進められないままでは、DXを推進するとしても自ずと限界があるからです。以上、プロセス構築にこだわることが、IT化、ひいてはDXを推進する上で成功の鍵であるという私なりの気づきを紹介させていただきました。

※本記事は、[CIO Loungeウェブサイト](https://www.ciolounge.org/)に寄稿されたコラムを元に掲載しています。

### 筆者プロフィール
![img](https://storage.diamondv.jp/photos/inserted/4XTBVoNrthyPNTuUnyWnAE/aeb604be-676f-41cc-8899-bd7357958014.png)

 **井本 滋久（いもと しげひさ）**   

1990年、松下電器産業（現パナソニック）に入社。事業所のIT部門に所属し、国内外の事業所の業務標準化とITインフラ統一や、個々の事業環境に沿った業務改革の推進に従事。その後、事業所の情報部門責任者を歴任した。2017年、化学メーカーのダイセルを経て、2022年から京セラコミュニケーションシステム（KCCS）に勤務。エグゼクティブエキスパートとして京セラ事業所のICT推進を担当。趣味は旅行とタイガース応援。


CIO Loungeは、経営とITの一体化を目指すCIOやIT責任者が集う場であり、日本企業のIT化を支援している。経営者とCIO間のコミュニケーション不足や中小企業のIT活用不足を解消し、デジタル化を加速させる取り組みとは。今回は正会員の井本 滋久氏のコラムを掲載する。

海外で感じたITに対する考え方の違いと「強いプロセス構築」の必要性

　ICT（情報通信技術）という言葉は、2000年から徐々に広がり、今では一般的に使われています。私は、2003年からこの分野を担当していました。主業務は、社内で個々に運営していたメールシステムを、お客様に向き合うためにブランドを意識し、統一したドメインに移行する仕事でした。

　今となっては笑い話ですが、当時、「メールは電話・ファクスの補完機能だ」と安易に考えていました。しかしコミュニケーションの基幹システムとして活用が広がる一方で、誤送信や悪質利用、SPAMメールなどによる情報漏洩が問題となり、計画外のリソース増強やセキュリティ対策強化に追われました。単にICTに強みがあるだけではだめで、世の中の動向を注視し、将来の展望をもって企画しないとまずいと、強く反省したことを覚えています。

　反省しただけではありません。メールのプロトコルであるSMTP/POP3/IMAP4はすでにグローバルに広がっており、まったく違うプロトコルになることはないと考え、商用のソフトから、OSを含めてオープンソースソフトウェアで再構築。同時に浮いた費用でセキュリティ対策を徹底しました。以後10年間、このメールシステムは大きな障害なく24時間365日稼働し続け、コミュニケーションの基幹システムとしての役割を果たしました。

　しかし10年も経つと時代遅れになるのは避けられません。2010年代には企業チャットやWeb会議も重要なコミュニケーション手段になりました。何よりも、コミュニケーションに必要なシステムを自前で設計・構築・運用する時代ではなくなっていました。そこで二転三転しましたが、私たちもクラウドサービスに切り替えました。その時の選定基準は一般に広く使われ、企業にも浸透していることです。特にWeb会議はコロナ禍が追い風になり、リモートワークが常態化する中で一気に定着しました。

## セキュリティで常に一歩先を行くことが重要

　クラウドサービスに切り替える際、「セキュリティは大丈夫か？」という声があったのは事実です。しかし年々、巧妙化する攻撃に対して、自社でセキュリティ対策を強化するのも限界があります。自宅の金庫より銀行の金庫の方が安全なのと同じで、クラウドの機能を活用して強化する方が安全だと主張しました。

　もちろん、それだけでは済みません。セキュリティをクラウドサービスの事業者に委ねることは、大きなリスクです。そこで私たちはいくつかの対策を実施しました。まずPCやタブレット、スマートフォンといったデバイスのセキュリティ対策の強化です。IT資産管理をきちんと実施し、各デバイス上で稼働するソフトのバージョンを管理し、脆弱性を排除しました。

　エンドポイントセキュリティも必須です。ストレージの暗号化やID管理、未知のマルウェアなどの感染リスクを抑えるための各デバイスの通信のふるまい監視などです。さらにパブリックなシステム環境の活用を進めるにあたり、ITリテラシーの低さによる危険な操作などのリスクを抑えることも重要です。

　教育や研修はもちろん、USBデバイスなど不必要な外部装置の接続防止、クラウドプロキシによるアクセス制限、指定した特定のデバイスのみを社内アプリに接続できる環境構築を行いました。インシデント発生時に不可欠になるIDやログ管理を強化し、対応する組織（CSIRT：Computer Security Incident Response Team）も組織しました。いずれも今となっては当然であり、最低限のことです。

　今後、クラウドサービスの利用はさらに拡大するはずです。加えてネットワークは衛星活用の時代になり、ITの活用はさまざまな場所・環境に広がります。センサーや半導体技術の発展と共に、IoTの利用も今とは異なる次元で加速するでしょう。

　そうしたさまざまな場所のITやIoTが生み出す膨大なデータをAIで処理し、顧客価値の拡大や新サービスの創出・提供が進むこともまず間違いありません。そうである以上、そのときのことを想定し、セキュリティの姿を構想しておくことは、決定的に重要だと考えます。何かあってからでは遅いし、セキュリティに不安があるのでやるべきことをできないような事態は、避けなければならないからです。

　こうしたことは読者の皆様には釈迦に説法かもしれません。しかし自戒の念を込めて言えば、ついつい目先の問題や費用にとらわれ、常に先んじる姿勢をおろそかにしがちなのも事実ではないでしょうか？ そうではなく、常に先を読み、今、何をすべきかを考えて実践する専門家であり続けたいと思っています。

※本記事は、[CIO Loungeウェブサイト](https://www.ciolounge.org/)に寄稿されたコラムを元に掲載しています。

### 筆者プロフィール
![img](https://storage.diamondv.jp/photos/inserted/pN5J3ZHH59VDuaTpG6F8Jh/29426faa-34ff-46c1-a5fc-894630239139.png)  

 **中西 秀明（なかにし ひであき）** 

兵庫県出身。1986年、旧・松下住設機器に配属。当初、CAD/CAM/FAなどのシステム開発を担当、1995年、松下電器産業（現・パナソニック）に異動し、メインフレーム中心のインフラ業務を担当、2003年より全社のICT環境構築及びデータセンター運営を担当。2019年よりIT子会社の監査役。2023年よりパナソニック コネクトにてお客様サポート関連の業務を推進。趣味は海釣りとマラソンで、“還暦サブ4”を目指し練習中。


CIO Loungeは、経営とITの一体化を目指すCIOやIT責任者が集う場であり、日本企業のIT化を支援している。経営者とCIO間のコミュニケーション不足や中小企業のIT活用不足を解消し、デジタル化を加速させる取り組みとは。今回は正会員の中西 秀明氏のコラムを掲載する。

ICTで変わる職場・事業環境とセキュリティ

　2023年3月、ニッポンハムグループは北海道北広島市に、北海道日本ハムファイターズの新球場「エスコンフィールドHOKKAIDO」（写真1）を核とした「北海道ボールパークFビレッジ」を開業しました。「自分たちの町にボールパークを建設したい」。北広島市の皆さんは、新千歳空港と札幌の中間に位置する北広島に球場を誘致するために大変なご苦労をされたと聞きます。その根底にあったのは文字通り、札幌農学校クラーク博士の「Boys, be ambitious（青年よ、大志を抱け）」の精神だったとのことです。

![img](https://storage.diamondv.jp/photos/inserted/fHnTynkmZR2YUfbK2GELkw/d8cbe3a9-2374-4eac-9f5d-bceac7c7238d.jpg)
写真1：話題を呼んだ、北海道日本ハムファイターズの新球場「エスコンフィールドHOKKAIDO」（出典：北海道ボールパークFビレッジ）

　さて、1987年に日本ハムに入社後、IT部門に配属され、IT戦略部長を務めた私は2021年に日本ハムシステムソリューションズ（NHSS）の社長に就任しました。グループのシステム会社で従業員数は約200名。決して大きな会社ではありませんが、責任者として、(1)NHSSの経営基盤を強化、(2)グループの発展をITで加速・推進する、何よりも(3)従業員が真の幸せと生き甲斐を求める場とする、を実現しなければなりません。新型コロナが蔓延していた時期でもあり、どうすべきか思い悩みました。

　数カ月の間、検討を尽くした結果、かっこいい言葉や耳障りのよいメッセージではなく、自身が仕事を通して得たことや感じたこと、想いを率直に発信しようと考えました。具体的には5つのチャレンジ項目（C）と「Think!」をスローガンとして発信したのです。同じ立場の皆様に少しでも参考になればと思い、概要を説明させていただきます（図1）。

![img](https://storage.diamondv.jp/photos/inserted/fHnTynkmZR2YUfbK2GELkw/75648b6b-6053-48c6-9e55-ed2adfef3478.png)
図1：5Cチャレンジと＋THINK

　チャレンジ項目の一丁目一番地は、風通しのよい組織・風土を作るためには絶対に欠かせない「コンプライアンス」についてです。会社も個人も不幸となるハラスメントは、絶対に許さないとの思いを込めました。2つ目は、仕事を進める上で非常に重要となる「コミュニケーション」、3番目は、仕事を行き当たりばったりではなく、自身が主体的に計画を立て進めてもらいたいとの考えから「シナリオ」を掲げました。

　4番目は、従来のやり方にこだわることなく、創造力を発揮しチャレンジングな目標に主体的に取り組んでもらいたいという意味を込めて「クリエイト」、最後の5番目は「コミットメント」としました。自分が立てた目標に執着心を持って達成してもらいたいという思いからです。「Think!」については説明不要かも知れません。自ら考えを尽くし、自分の言葉で遠慮せずに発信・主張して欲しいとの意図を込めています。

　もちろん、一度発信しただけでは従業員には伝わりません。コロナ禍でフェイスツーフェイスのコミュニケーションが難しい状況もありました。そこで従業員とのコミュニケーションを図り距離を縮めるため、いくつかの施策を実施しました。1つが一人ひとりと面談する「社長雑談ミーティング」です。仕事に対する思いや普段感じている問題に加えて趣味などプライベートな話まですることで、従業員の考えや悩みを理解すると共に私自身、いろいろな気づきがありました。

　コロナ禍で社内のイベントや飲み会などができず、顔と名前が一致しないといった声が聞こえる中、一風変わったこともやりました。TV番組の「アメトーーク！」をご存じでしょうか？ それに倣ってゲストやテーマを設定し、私自身がファシリテートして動画を作成し、配信するものです。その名も「タグトーーク！」。新入社員やキャリア採用者、海外駐在員を迎えて、人となりをインタビュー形式で紹介しました。社内でのコミュニケーションの強化策ですが、突っ込みもボケもあり、従業員のウケは良かったようです。

　ゴルフ場で実施した「NHSSゴルフNo.1決定戦」も、「タグトーーク！」で動画配信しました。ゴルフ好きの従業員の好プレイや珍プレイ満載で、大いに盛り上がりました。

　このほか「リモート職場参観」も行いました。家族の方を職場に招待して実施していた職場参観ですが、コロナ禍のためリモートで翌春の新入社員や従業員のご家族も招待して実施したのです。

　手を変え、品を変えつつも一方通行では不十分です。そこで毎期末に、全従業員に無記名で「社長通知簿」を付けてもらいました。「大変よくできました」から「がんばりましょう」までの私に対する評価に加え、会社や職場をもっとよくするための意見などを書いてもらうわけです。改善できることは改善し、結果をフィードバックします。通知簿の結果は幸いある程度の評価でしたが、私自身の発言の影響が思ったより大きいことや、想像した以上に従業員が私のこと見ていることを再認識させられました。

　冒頭で示した北海道ボールパークFビレッジはニッポンハムグループにとってチャレンジングな取り組みです。思い返せば私自身、ITの可能性の広がりを感じながらグループ発展のための変革やチャレンジングな気持ちで取り組んできたように思います。

　今日、生成AIをはじめとするテクノロジーの進化には目を見張るものがあります。当社の従業員のみならず、システム、ITに携わる方には目の前の課題・難題に立ちむかうとともに、決して縁の下の力持ちだけではなく、新たなテクノロジーを用い、高い視点・視座の「be ambitious」マインドで、社内の関係者やステークホルダー、オーバーに言えば日本の発展のために活躍してもらえれば大変うれしく思います。

※本記事は、[CIO Loungeウェブサイト](https://www.ciolounge.org/)に寄稿されたコラムを元に掲載しています。


### 筆者プロフィール

![img](https://storage.diamondv.jp/photos/inserted/fHnTynkmZR2YUfbK2GELkw/087de3fc-338c-43e4-b58e-0b438aa27674.png)

 **田口 稔（たぐち みのる）** 

1987年、日本ハム入社。システム部門に配属。2016年、同社IT戦略部長就任。ニッポンハムグループ全体のIT戦略企画・立案、全社基幹システム刷新、プロジェクト推進などに取り組む。2021年、日本ハムシステムソリューションズ社長に就任。CIO Loungeには2023年より参加。趣味は、ファイターズ応援といつまでたってもうまくならないゴルフ（2023年8月に北海道でのゴルフコンペで、偶然に偶然が重なり人生初のホールインワンを達成し、本人もビックリ）。


CIO Loungeは、経営とITの一体化を目指すCIOやIT責任者が集う場であり、日本企業のIT化を支援している。経営者とCIO間のコミュニケーション不足や中小企業のIT活用不足を解消し、デジタル化を加速させる取り組みとは。今回は正会員の田口 稔氏のコラムを掲載する。

新しいテクノロジーと共に、“be ambitious”マインドで！

　FM大阪で放送中のラジオ番組『THE CIO LOUNGE』。前回は、個人、法人それぞれに最適化されたセキュリティソリューションを提供するトレンドマイクロ株式会社 取締役副社長 大三川 彰彦（おおみかわ・あきひこ）氏が、サイバーセキュリティの甘さが企業、引いては国家の存続をも揺るがすとの危機意識を訴えた。3月28日（土）オンエアの第13回も引き続き大三川氏が登壇。限られた予算の中で、優先度を見極め、効率よくセキュリティ対処をとる意義と仕組みを解説。また、工場などで活用されるOT（オペレーショナル・テクノロジー）の脆弱性が狙われる昨今、その対策が重要度を増していると訴えた。コメンテーターは矢島 孝應（NPO法人 CIO Lounge理事長）氏が務める。
## 相手のサイバー攻撃を予測しながらコストも抑える――AI時代の新しいセキュリティープラットフォーム
 **珠久：** 先週話題にしたランサムウェアと並んで脅威と言われているのが、AIの悪用と言われているそうですね。

 **矢島：** 技術が発展して便利になる一方、脅威もどんどん増えています。銀行の通帳や身分証などがデジタル化され、すべてスマホに集約される時代になりましたが、もしその中の情報が消えたり使えなくなったりすると、自分が本人であることや、資産を持っていることすら証明できなくなる可能性があります。

 **大三川：** 昔は詐欺メールが来ると、日本語が不自然で「怪しい」と気付けましたが、今はAIの進化で自然な文章が作れるようになり、見分けがつきにくくなっています。さらにディープフェイク技術によって、2、3秒ほどの音声や動画データがあれば学習し、本人そっくりの声や映像を簡単に作ることもできるのです。これまで人間が行っていた、標的探しや侵入方法の検討といったサイバー攻撃の準備も、AIが短時間で行えるようになっています。攻撃用のマルウェアの作成などもAIで自動化されつつあるのです。

 **珠久：** AI時代に合わせたセキュリティ対策ツールは絶対的に必要ですね。AI駆動型のセキュリティプラットフォーム「TrendAI Vision One™」というものをリリースされたそうですが、どんなものでしょうか？ 

 **大三川：** AIを活用して、企業のセキュリティ対策をわかりやすく管理するプラットフォームです。まず、AIが会社のシステム全体を分析、どう攻撃されるかというシナリオも予測して、ビジネスへの影響度を踏まえた上で「どこが危ないか」、「どこを優先して守るべきか」をスコアで可視化します。そして問題が起きたときは、「何からどの順番で対応すべきか」を示してくれます。こうした情報を1つの画面でまとめて確認し、効率よく対処をすることができます。

 **矢島：** セキュリティ対策はどれだけお金をかけても万全にはできないので、現役CIOの頃は悩みましたね。全財産を使って頑丈な金庫を作って、金庫に入れるお金がなくなるようなものです。なので、全体を俯瞰して効率的にセキュリティ対策をするのは、経営視点でとても大事なことなんです。

 **大三川：** 経営者として、その会社を継続させることは、従業員とお客様に対して果たすべき責任です。ただすべてを同じレベルで厳重に守ろうとすると、コストも手間もかかりすぎて現実的ではありません。そこで、重要な部分はしっかり守り、優先度の低い部分はある程度柔軟に対応する、という考え方が必要です。AIを使って攻撃が始まる前に対策することでコストも抑えられ、海外をはじめ、国内でもすでに実績もあります。我々が裏側からシステムをしっかり守りますから、お客様には安心して新しいテクノロジーに挑戦していただきたいです。

## ものづくり大国日本——工場の脆弱性が企業全体の麻痺に波及する？
 **珠久：** トレンドマイクロさんはOTセキュリティにも注力されているということですが、OTとは何でしょうか。

 **大三川：** OTとは「オペレーショナル・テクノロジー」という意味です。主にパソコンや社内システムなどの情報やデータを扱うIT、すなわちインフォメーション・テクノロジーに対し、工場や設備などの運用を支える技術を指します。工場が止まると大きな損害に繋がるのでOTは設備や生産ラインを「止めないこと」が最優先になりますが、そこにも脆弱性はあります。システムを狙われると、制御しているはずのマシンがとんでもない動きをしたり、温度が上がると働くはずのスプリンクラーが作動せず、火事が起こってしまったりといった事態になります。しかしITとは仕組みや通信方法が違うため、適したセキュリティ対策が必要になります。

 **矢島：** 工場だけに「セキュリティ対策ちゃんとやっとけよ」と言っておけばいいという時代ではなくなりました。経営者、CIOは工場の制御についてもしっかりと理解する必要がありますね。

 **大三川：** 工場の「見える化」は多くの企業が取り組んでいますが、従来のITベースのツールでは限界があります。工場のシステムにも様々な階層があり、末端の細かな機械の動きまでは十分に把握できません。そこで、工場専用の技術、当社から独立し、OTセキュリティに特化したソリューションを提供している「TXOne Networks *1」では、これまで見えなかった内部の動きや弱点まで可視化できるOT向けのソリューションを提供しています。これにより、トラブルで設備が止まるリスクを減らすことができます。さらに、その情報をIT側とも連携して一体的に管理することで、より効果的な運用と安全対策ができます。

*1 TXOne Networks Japan 合同会社（日本法人）

 **矢島：** ものづくり大国である日本は、工場を止められると経済も止まってしまいますから重要な対策ですね。
![img](https://storage.diamondv.jp/photos/inserted/2EvgPDDCX6FXaShVNVYFMR/bf722297-db5a-42b9-a648-7a21724f5827.jpg)
## 迅速なニーズとシーズの結びつけが、日本経済強化の鍵
 **珠久：** FM大阪The CIO Lounge、今回でファーストシーズンは終了です。毎回、力のある素敵な方々をゲストにお迎えできました。いい勉強をさせていただいて、日本の未来は明るい、まだまだいける！ と思えました。

 **矢島：** いろいろな新しいテクノロジー、ソリューションがありましたね。ニーズとシーズという考え方がありますが、まだ気づいていない課題や需要（ニーズ）をいかに早く企業が持つ技術や強み（シーズ）と結びつけるかが重要だと感じました。この両者をうまくつなげることが、日本経済を強化する鍵になりますね。そして、日本はスピード面での遅れが指摘されましたので、迅速に対応していくことも大切です。

　とはいえ、CIO、経営者の方は、孤独な中で決断を迫られることも多いと思います。ご相談があれば、NPO法人CIO Loungeをぜひ頼っていただきたいです。

 **珠久：** 本当にご相談に無償で対応してくださって、加盟するといろいろな繋がりも広がっていきます。

　それでは、近いうちにセカンドシーズンでまたお会いしましょう。リスナーの皆さまも本当にありがとうございました！
![img](https://storage.diamondv.jp/photos/inserted/2EvgPDDCX6FXaShVNVYFMR/3202c1d0-7747-4d2b-acd8-3859813636e2.jpg)
※番組収録時のディレクターズカット版をポッドキャストでお聞きいただけます。  
https://www.fmosaka.net/_ct/17831845

※収録の雰囲気も楽しめるYouTube動画をご覧いただけます。
https://www.youtube.com/watch?v=I5YY1sFzaaM

＜番組情報＞   
番組名：「THE CIO LOUNGE」  
放送日時：毎週⼟曜⽇ 7：00〜7：25  
放送日：2026年3月27日（土）7：00〜7：25  
放送局：FM大阪

 **ゲスト：大三川 彰彦（おおみかわ・あきひこ　トレンドマイクロ株式会社 取締役副社長）**  
1982年、日本ディジタルイクイップメント株式会社（現・日本ヒューレット・パッカード合同会社）に入社、営業としてキャリアをスタート。
1992年、日本マイクロソフト株式会社に入社し、2000年、同社執行役員に就任、ビジネスインターネット事業部長、エンタープライズ営業本部長、ゼネラルビジネス統括本部長を歴任。
2003年、トレンドマイクロ株式会社に入社。日本国内における個人ユーザならびに企業ユーザ向けビジネスの総責任者として活動。2012年に取締役副社長に就任。現在、国内ビジネスに加え、グローバルビジネスや新規ビジネス開発にも携わる。
また2019年、トレンドマイクロがMoxa社と設立したOTセキュリティソリューションを提供するTXOne Networksでも会長を務める。
2025年6月、アステリア株式会社 社外取締役に就任。

 **コメンテーター：矢島 孝應（特定非営利活動法人 CIO Lounge理事長）**  
元ヤンマー株式会社取締役CIO。パナソニック、三洋電機、ヤンマー3社で情報システム責任者を経験。現在理事長を務めながら、数社の社外取締役や顧問等の立場で活動。趣味はゴルフとワイン。

 **パーソナリティー：珠久 美穂子（FM大阪DJ）**  
大阪府出身。2000年にFM大阪の『Hit Street Midnight Special』でDJデビュー。趣味はドローン、ゴルフ、テニス。珠算検定2級、暗算検定2級、秘書検定2級。


FM大阪『THE CIO LOUNGE』第13回はトレンドマイクロの前回に続いて大三川彰彦氏が登壇。限られた予算で最大の効果を生むセキュリティ対策の優先順位について議論します。さらに、工場等のOT領域が狙われる中、組織を守り抜くために今、何をすべきなのか。効率的な防御戦略の要諦とは。

THE CIO LOUNGE 第13回——際限ないセキュリティ対策に最適解。AIによる攻撃にはAI駆動型プラットフォームで迎え撃つ！

　FM大阪で放送中のラジオ番組『THE CIO LOUNGE』。前回は、株式会社システムズの代表取締役、小河原 隆史氏より、レガシーシステムを新しい環境に再構築して再利用する「マイグレーション」という手法が提示された。3月21日（土）オンエアの第12回では、個人、法人それぞれに最適化されたセキュリティソリューションを提供するトレンドマイクロ株式会社 取締役副社長、大三川 彰彦（おおみかわ・あきひこ）氏が登壇。高度化・巧妙化する昨今のサイバー攻撃について詳説し、サイバーセキュリティに関する危機意識の向上を訴えた。コメンテーターは矢島 孝應（NPO法人 CIO Lounge理事長）氏が務める。
## グローバルにビジネスを展開する日本発のセキュリティベンダー
 **矢島：** 唐突ですけれど、家に泥棒が入ってきて、お金を盗まれたとします。その家の人をどう思いますか？

 **珠久：** 盗まれた人はかわいそう、大変だと思いますね。

 **矢島：** そうですよね、それが普通の世の中です。ところがコンピュータの世界は逆で、盗まれた被害者がバッシングされるんです。「お宅の金庫が悪かったから盗まれたんだ」と。最近システム障害のあった、アサヒビールさん、アスクルさんは、経営陣の方が頭を下げていました。今日はそういうことがないように日夜働いておられる、素晴らしい方に来ていただきました。

 **珠久：** パソコンを買ったら、必ずセキュリティソフトを入れますけど、私はウイルスバスターにとてもお世話になりました。それを開発しているのがトレンドマイクロさんですね。

 **大三川：** 一般的なイメージとして外資系セキュリティベンダーだろうと思われることが多いですが、実は弊社は38年目を迎える日本企業です。企業系、個人系のサイバーセキュリティをまんべんなく網羅し、日本を含む44の国と地域でビジネスを展開しています。

 **矢島：** このIT業界って、本当にいろんなソフトウェアがありますよね。ただ、ここまでグローバルに展開しているソフトウェア企業を見ると、本社が日本にある会社は本当に少ないんです。日本で会社を立ち上げて、世界展開を目指すケースももちろんあるんですが、実際には途中で難しさに直面して、方向転換したり、海外展開を断念してしまう企業が多い、というのが実態のようです。
## 詐欺電話ブロックアプリを無償提供、警察庁とタッグを組んで詐欺防止に貢献
 **珠久：** サイバーセキュリティに長く携わる中で、どのような変化があったでしょうか。

 **大三川：** 20年前は、パソコンなどのデバイスを守ることがセキュリティの中心でした。その後、企業がサーバーにデータを集約して活用するようになり、今度はサーバーを守る必要が出てきました。さらに、サーバーがネットワークにつながってクラウドの利用も広がり、今は自動車やロボットなど、IT技術の進化によってセキュリティが必要な領域はどんどん広がっています。全体を可視化して把握すること、事前に対処すること、そして何かあったときにどうリカバリーするかが問われています。

 **珠久：** 高市首相がサイバーセキュリティの抜本的強化を政策の柱の一つに据えておられますよね。一般の私たちがこれから直面する脅威は何でしょうか。

 **大三川：** 個人については、金銭の窃取を狙ったフィッシング犯罪ですね。広告をクリックしたことで個人情報を奪われて、そこから詐欺メールがきてしまう。投資詐欺、ロマンス詐欺など詐欺の被害額は昨年1年間で3,200億円以上、スマホから来るものも多く、新しい手口として急増しているニセ警官詐欺では10代、20代の相談も多いそうです。「以前の○○の件で」など、なりすましの語り口も巧妙です。ひどいことになると、スマホを乗っ取られそのまま盗聴されます。

 **珠久：** 詐欺電話をブロックできる「詐欺バスターLite」が、警察庁から推奨アプリとして認定されたそうですね。ありがたいです！

 **大三川：** もともと弊社では、「詐欺バスター」というアプリを出していたのですが、警察庁から「国民のために無償で配りたいので協力してほしい」と要望を受けてそのような運びとなりました。詐欺バスターの機能の1つを流用し、詐欺電話をブロックするアプリです。弊社では詐欺電話に関する膨大なデータベースを構築し、情報収集をしています。
![img](https://storage.diamondv.jp/photos/inserted/oFE9b2UKY5suvrfH38MBRa/c59752e5-5ca3-4245-bfaa-b49ba64a90dc.jpg)
## 国家を揺るがすサイバー攻撃——脆弱な国は世界のサプライチェーンから外される？
 **珠久：** 国や企業が晒されている脅威についてはいかがですか。

 **大三川：** 2024年末から翌年の始めにかけて、たくさんのアクセスでシステムに過剰な負荷をかけて動かなくするDDoS攻撃が相次ぎ、航空会社や金融機関が止まったりしましたよね。最近のニュースでは、ランサムウェア被害の6割ぐらいが中小企業だと報道されていました。これは、セキュリティの甘い中小企業にまず潜り込んで、そこに繋がっている大企業を狙う目的が大きいようです。さらに近年はAIを活用した攻撃も増えており、国レベルになれば、サイバー攻撃で電気やパイプラインなど他国のインフラを止めることもあります。政治的な動きもあるので非常に厄介です。

 **矢島：** 今や戦争でも、まずテクノロジーによる攻撃が行われる時代になっています。最初にサイバー攻撃をかけて、次に実弾を撃つという形になってきているんです。

 **大三川：** 高市首相のおっしゃる通り、国としてIT意識を高めることは、絶対に必要です。サイバーリスクに対する危機管理ができなければ、友好国同士での情報交換で仲間外れにされる恐れもあります。アメリカ・イギリス・カナダ・オーストラリア・ニュージーランドはサイバー脅威について情報共有の枠組みを作っていますが、日本も入ることを希望すると、国としてまず信頼されないといけません。だから経営者は、サイバーセキュリティにおいて各国がどう動いているかも意識しないと、世界で戦えません。場合によっては、世界のサプライチェーンから外されてしまいます。

 **矢島：** SDGsの観点から欧米を中心に「環境対応ができてない企業とは取引しない」とする流れがあります。同様に「セキュリティに問題がある企業とは取引しない」ということですよね。日本にいくら製品力、技術力があっても、サイバーセキュリティの足かせで欧米と取引できなくなるおそれがあるのです。

 **珠久：** トレンドマイクロさんが果たす役割が一層大きくなっていきますね。

 **大三川：** 弊社では脆弱性を発見した研究者に対して金銭的インセンティブを与える取り組み、Zero Day Initiative（ZDI）を行っています。20,000人以上のホワイトハッカー（情報システムやセキュリティの問題を特定・解決する専門家）から、常時、脅威情報を収集しており、世界中で発見される脆弱性の73%をZDIが発見し、リスクへの対応を行っています。また、長年AI技術を活用しており、こうした人の知見とAIツールを組み合わせて、最適なソリューションを提供しています。あらゆる手段を用いてシステムのリスクを事前に想定・可視化し、継続的に守っていくのが弊社のサービスです。

 **珠久：** 気になるサービスの具体的な内容、来週是非詳しくお聞かせください。  
【第13回に続く】
![img](https://storage.diamondv.jp/photos/inserted/oFE9b2UKY5suvrfH38MBRa/771bc956-2001-42ce-a926-d35244465b4e.jpg)
※番組収録時のディレクターカット版をポッドキャストでお聞きいただけます。  
https://www.fmosaka.net/_ct/17830362

※収録の雰囲気も楽しめるYouTube動画をご覧いただけます。
https://www.youtube.com/watch?v=eDnTDB-DWhY

＜番組情報＞  
番組名：「THE CIO LOUNGE」  
放送日時：毎週⼟曜⽇ 7：00〜7：25  
放送日：2026年3月21日（土） 7：00〜7：25  
放送局：FM大阪

 **ゲスト：大三川 彰彦（おおみかわ・あきひこ　トレンドマイクロ株式会社 取締役副社長）**  
1982年、日本ディジタルイクイップメント株式会社（現・日本ヒューレット・パッカード合同会社）に入社、営業としてキャリアをスタート。
1992年、日本マイクロソフト株式会社に入社し、2000年、同社執行役員に就任、ビジネスインターネット事業部長、エンタープライズ営業本部長、ゼネラルビジネス統括本部長を歴任。
2003年、トレンドマイクロ株式会社に入社。日本国内における個人ユーザならびに企業ユーザ向けビジネスの総責任者として活動。2012年に取締役副社長に就任。現在、国内ビジネスに加え、グローバルビジネスや新規ビジネス開発にも携わる。
また2019年、トレンドマイクロがMoxa社と設立したOTセキュリティソリューションを提供するTXOne Networksでも会長を務める。
2025年6月、アステリア株式会社 社外取締役に就任。

 **コメンテーター：矢島 孝應（特定非営利活動法人 CIO Lounge理事長）**  
元ヤンマー株式会社取締役CIO。パナソニック、三洋電機、ヤンマー3社で情報システム責任者を経験。現在理事長を務めながら、数社の社外取締役や顧問等の立場で活動。趣味はゴルフとワイン。

 **パーソナリティー：珠久 美穂子（FM大阪DJ）**  
大阪府出身。2000年にFM大阪の『Hit Street Midnight Special』でDJデビュー。趣味はドローン、ゴルフ、テニス。珠算検定2級、暗算検定2級、秘書検定2級。


FM大阪『THE CIO LOUNGE』第12回は、トレンドマイクロの取締役副社長、大三川彰彦氏が登壇。CIO Lounge矢島孝應氏と共に、日々巧妙化するサイバー攻撃の脅威について詳説します。企業の資産を守るために、今私たちが持つべきセキュリティへの危機意識と、必要な対策のあり方とは。