ないものは作る 第3話「孤城」
二〇二〇年の春、世界が止まった。
ニュースが毎日、感染者数を伝えていた。東京では緊急事態宣言が出され、オフィスから人が消えた。北条市にもじわじわと影響が広がり、工場の食堂では対面で座ることが禁止され、会議室の定員が半分になった。
僕のデスクの上には、いつものISMSの書類に加えて、新しい課題が積まれていた。
「出社しないで仕事をさせるための方針を作れ」
上からの指示は明快だったが、中身は何もなかった。テレワークの方針。在宅勤務時の情報セキュリティ規程。私用端末の利用ルール。VPN接続の手順。全部、ゼロから作らなければならない。
——いや、完全にゼロではなかった。
十年ほど前に、別の感染症が流行した時期があった。あの時はここまでの規模にはならなかったが、一応のガイドラインを作っていた。パンデミック時の事業継続に関する、薄い文書だ。大場さんが作ったものだった。
僕はその文書を引っ張り出してきた。十年前の想定は甘かった。「一部の社員が出社できない場合」を想定しており、「全社員が出社できない場合」は考慮されていなかった。でも、骨格は使えた。ゼロから作るよりも、古いものを改版するほうが速い。
大場さんと二人で、会議室にこもった。換気のために窓を開けていたから、四月だというのに肌寒かった。
「柏木さん、テレワークの経験ある？」
「ないです」
「私もない」
二人とも経験がないものの方針を作る。滑稽な状況だったが、笑っている場合ではなかった。全社数千人の働き方を、数日で変えなければならない。
一番悩んだのは、自宅からどこまでの情報にアクセスさせるか、だった。
社内のシステムには、製造データ、取引先の機密情報、個人情報が入っている。それを自宅のネットワーク環境から触らせるのか。自宅のWi-Fiは暗号化されているか。家族と共用のパソコンではないか。画面を背後から覗かれないか。考え出すときりがない。
大場さんは、この時少しだけやる気を見せた。新型コロナウイルスという未曾有の事態に、マネジメントシステムがどう対応するかという問題は、ISMSの運用を何年も続けてきた大場さんにとって、久しぶりに頭を使う課題だったのだろう。
僕が技術面を担当し、大場さんがマネジメント面——方針の文書化、承認フロー、例外規定の設計——を担当した。
技術面では、部門ごとにアクセスのレベルを分けた。自宅から社内のデータに直接触れさせるわけにはいかない。かといって、制限をかけすぎると仕事にならない。どの部門にどこまでアクセスさせるか、そのバランスを探るのに何度もシミュレーションをした。全員に同じレベルのアクセスを与えるのは危険だ。業務内容に応じて、アクセスできる範囲と方法を変える。セキュリティと利便性の両立は、言葉で言うほど簡単ではなかった。
全員に同じレベルのアクセスを与えるのは危険だ。かといって、制限をかけすぎると仕事にならない。そのバランスを探るのに、何度もシミュレーションをした。
一週間で方針の骨格を作り、二週間で全社に展開した。完璧とは言えなかった。穴だらけだった。でも、何もないよりはましだ。走りながら直す。ISMSのPDCAサイクルそのものだった。
三島は、各拠点への展開を取りまとめてくれた。北条、南陽、瑞穂、矢萩、日向。全工場のテレワーク導入状況を一覧にして、進捗を管理する。三島のこういう仕事は、いつも正確だった。
方針を作った以上、自分たちも実践しなければ説得力がない。
僕も在宅勤務を始めた。
最初の朝、自宅のリビングでノートパソコンを開いた時の、あの奇妙な感覚を覚えている。昨日までは毎朝、車で工場に向かい、管理棟二階の自分の席に座り、モニターの電源を入れていた。それが今日は、自宅のダイニングテーブルだ。
VPNに接続する。自分が設計に関わったVPN基盤の上で、自分が在宅勤務をしている。不思議な気分だった。
メールを開く。ウイルス対策システムの状態を確認する。ISMSの管理台帳を更新する。やることは同じだ。場所が違うだけで、仕事の中身は変わらない。
変わったのは、周りに人がいないことだった。
管理棟二階にいれば、大場さんが隣でモニターを見ているし、三島が電話をかけている声が聞こえる。「柏木さん、ここどうしましょう」「三島さん、その件は明日でいい」。そういう小さなやり取りの積み重ねが、仕事のリズムを作っていた。
在宅勤務では、その全部がなくなった。朝から夕方まで、一人でモニターに向かい、一人で判断し、一人で作業する。
これが後に、僕一人でセキュリティを回す日々の予行演習だったとは、この時は知る由もなかった。
コロナ禍の最中に、一人の新しいメンバーがセキュリティ部門に加わった。
宮野、という名前だった。二十代半ばの女性で、社内の別部門から異動してきた。情報セキュリティの経験はゼロだった。
「よろしくお願いします」
初日、彼女は明るい声でそう言った。セキュリティ部門の静かな島に、場違いなほどの明るさだった。大場さんは少し面食らった顔をしていたし、三島は「元気な子が来たな」と小声で僕に言った。
宮野の教育は、主に三島が担当することになった。ISMSの基本的な仕組み、文書体系の構造、内部監査の流れ。三島は段取りの人間だから、教え方も段取りよく、順序立てて説明していた。
宮野がどういう人間かわかったのは、入ってきて二週間ほど経った頃だった。
僕は監査の準備をしていた。チェックリストの項目を確認しながら、来週の矢萩工場の監査に備えている。宮野が隣で、三島に言われた研修資料を読んでいた。
「柏木さん、ちょっといいですか」
宮野が声をかけてきた。
「なに？」
「このチェックリストの項目なんですけど」
宮野が指差したのは、「アクセス制御の粒度は適切か」という項目だった。
「これ、現場の人に聞いてもわからないと思います」
「なんで？」
「質問の仕方が技術的すぎるんですよ。『アクセス制御の粒度は適切か』って聞かれて、工場の現場の人が答えられると思います？」
僕は一瞬言葉に詰まった。正しかったからだ。
「じゃあ、どう聞けばいいと思う？」
「『この部屋に入れる人は決まってますか？ その一覧表はどこにありますか？』でいいんじゃないですか」
セキュリティの素人だからこそ見える視点だった。僕や大場さんや三島は、ISMSの言葉に慣れすぎていて、現場の人間にとってそれがどれだけ異質な言語であるかを忘れていた。
「それ、いい指摘だね」
「え、本当ですか？」
「本当。チェックリスト直すよ」
宮野は嬉しそうに笑った。素朴な笑顔だった。飾り気がなくて、見ているとこちらも力が抜ける。
セキュリティ部門に来て何年か経つが、こういう笑顔をする人間は初めてだった。大場さんは滅多に笑わないし、三島は控えめに笑うし、僕は——まあ、僕のことはいい。
宮野とは、よくお昼ご飯を一緒に食べた。
食堂でアクリル板越しに向かい合って——コロナ対策で座席が区切られていた——弁当を食べながら、たわいない話をした。仕事の話もしたし、仕事以外の話もした。
宮野は素朴で、よく笑った。でも、気は強かった。
「柏木さんって、なんでそんなに淡々としてるんですか」
「淡々としてる？」
「監査で不適合出す時も、インシデントの報告受ける時も、いつも同じ温度じゃないですか。怒らないし、焦らないし」
「感情的になっても意味ないからね」
「それはそうですけど、たまには怒ったほうがいいですよ。現場の人にナメられますよ」
「ナメられてるの？」
「ナメられてるっていうか……柏木さんの言うことが正しいのはみんなわかってるけど、正しいだけだと人って動かないんですよ」
痛いところを突かれた。宮野は遠慮がなかった。入って数ヶ月の新人が、何年もこの仕事をしている僕に向かって、言うべきことを臆さず言う。
「じゃあどうすればいい？」
「もうちょっと雑談したらいいんじゃないですか。監査の前に、最近どうですかとか、お子さん元気ですかとか」
「僕に雑談を求めるのか」
「無理ですか」
「無理だね」
宮野が笑った。僕も少し笑った。
宮野がいると、お昼ご飯の時間が楽しみになった。
くだらない話をした。食堂のメニューがここ三日同じだとか、自販機のコーヒーが値上がりしたとか。宮野は自分のことを話すのが好きで、週末に何をしたとか、最近見たドラマがどうだったとか、よく話してくれた。僕は聞いている側だったが、不快ではなかった。
彼女には、パートナーがいた。それは自然な会話の中で知った。僕にもパートナーがいることは、同じように自然に伝わっていた。
だからこれは、そういう話ではない。
ただ、仕事場に自分の味方がいるということが、どれほど大きいことか。毎日顔を合わせて、一緒にご飯を食べて、たわいない話をして、仕事の相談をして、時にはきついことも言い合える。それだけのことが、一人で仕組みを回す孤独を、だいぶ和らげてくれていた。
大場さんに変化が起きたのは、コロナの波がまだ続いている頃だった。
自動車業界では、VASEC——Vehicle Automotive Security Evaluation and Certification——という情報セキュリティの評価基準がある。欧州の自動車工業会が策定したもので、サプライチェーンに関わる企業が、一定水準の情報セキュリティを確保していることを証明するための認証だ。
取引先から「VASECを取得してほしい」という要請が来た。
ISMSとは別の認証。新しい枠組み。新しい要求事項。コンサルは入れない。予算がないから。いつも通りだ。
大場さんが、メイン担当として動き始めた。
僕は驚いた。あのやる気のなかった大場さんが、自ら手を挙げたのだ。
ISMSの年次サイクルには倦んでいた大場さんだが、VASECは未知の領域だった。新しいことを、ゼロから作る。それが大場さんの中の何かに火をつけたのだろう。
大場さんは、VASEC基準のカタログ——評価項目をまとめた要求事項集——を英語のまま読み始めた。翻訳版はあったが、原文のニュアンスが重要だから、と言って原文にあたっていた。
「柏木さん、ここの要求事項、ISMSの管理策と重複してるところがあるんだけど、見てもらえる？」
「はい」
「あと、プロトタイプ保護の部分、うちの工場だとどの区画が対象になるか、現場を見てきてほしい」
大場さんの指示は具体的で、的確だった。やる気がない人間の指示ではなかった。
僕の担当は、ISMSの既存の管理策とVASECの要求事項をすり合わせることだった。二つの枠組みには重複する部分と、そうでない部分がある。重複する部分はISMSの既存の仕組みで対応できる。問題は、VASECにあってISMSにない要求事項だ。
特に厄介だったのは、クラウドに関する要求事項だった。
ISMSの標準的な管理策は、オンプレミスのシステムを前提に設計されている。でも、うちの会社はすでにクラウドへの移行を進めていた。僕がインフラ時代に推進したクラウド移行だ。
クラウド環境に特有のセキュリティ要求——データの所在地、暗号化の方式、サービス提供者との責任分界——は、既存のISMSのガイドラインではカバーしきれていなかった。VASECはそこを明確に求めてくる。
僕は既存のガイドラインを改版し、クラウド固有の要求事項を統合した。一つのガイドラインの中に、オンプレミスとクラウドの両方の管理策が並ぶ形にした。別々の文書を作ると、運用が煩雑になる。一つにまとめておけば、担当者は一つの文書を読めば済む。
それに合わせて、具体的な申請書式も作り直した。クラウドサービスの利用申請、データ保管場所の確認シート、サービス提供者のセキュリティ評価チェックリスト。現場が実際に使う書類を、VASECの要求事項と整合させる。
地味な作業だ。華やかさはない。でも、こういう地味な統合作業をやらないと、認証は取れても運用できないシステムになる。形だけの認証ではなく、実際に動く仕組みを作る。大場さんがISMSでやったことと、同じだ。
三島がVASECのプロジェクト管理を担当し、宮野が対応表の作成——どのVASEC要求事項が、ISMSのどの管理策に対応するかを一覧にする作業——に加わった。四人が四人とも、それぞれの役割で動いていた。
セキュリティ部門が四人になったのは、この時が初めてだった。そして、四人で一つの目標に向かって走ったのは、この時が最初で最後だった。
半年後、VASEC認証を取得した。コンサルなしで。
審査の結果を受け取った日、大場さんの目が光っていた。ISMSを最初に作り上げた時のことを語ってくれた、あの時と同じ光だった。
問題は、その火がいつまでも続かなかったことだ。
VASEC取得の後、大場さんは再び静かになった。新しい認証を取るという目標が達成されてしまうと、残るのはまたいつもの年次サイクルだった。ISMSとVASECの二重管理。同じことの繰り返しが、二倍になった。
それでも、四人の日常は続いていた。
四人には、それぞれの役割があった。
大場さんはクライアント対応と全体の統括。取引先からのセキュリティに関する問い合わせ、契約上の要件確認、外部審査機関とのやり取り。対外的な窓口を大場さんが引き受けてくれていたから、僕たちは内側の仕事に集中できた。大場さんの穏やかな物腰は、クライアント対応に向いていた。僕が対応したら、たぶん空気が冷える。
三島は監査コントロール。年間の監査スケジュールの策定、各拠点との日程調整、監査報告書のとりまとめ、そして苦情の受付だ。苦情というのは、要するに「監査の指摘に納得がいかない」「柏木さんの言い方がきつい」「去年は何も言われなかったのに今年はダメなのか」。そういう声が、三島のところに集まる。三島はそれを僕にフィルタリングして伝えてくれた。感情的な部分を取り除いて、対応が必要な実質的な問題だけを抽出する。僕にとっては防波堤だった。
僕は監査員として、ほぼすべての拠点を飛び回った。北条を起点にして、南陽、瑞穂、矢萩、日向。さらに本社、海外拠点のリモート監査もある。一つの監査ツアーで三、四拠点を連続して回ることもあった。月の半分を出張先で過ごす時期もあった。
異動して三年ほど経った頃からは、IT部門の監査も担当するようになった。
セキュリティ部門がIT部門を監査する。少し変な構図だ。IT部門は技術のプロであり、セキュリティの技術的な対策は彼らが実装している。その彼らを、元インフラの人間が監査する。
でも、だからこそ意味があった。僕はインフラ時代にIT部門で仕事をしていた人間だ。ネットワーク構成も、サーバーの運用も、クラウドの設計も、手を動かしてきた。技術がわかるから、技術的な言い訳が通用しない。「このファイアウォールのルール、なぜこうなっているんですか」と聞いた時に、適当な回答をされても見抜ける。
IT部門の監査は緊張感があった。相手も技術者だから、曖昧な指摘は通らない。根拠を示し、規格の要求事項と照らし合わせ、具体的に何が不足しているかを明確に伝える。大学で身につけた論理的な説明力が、ここでも必要だった。
宮野はインシデント対応のメイン担当だった。大場さんがそう決めた。セキュリティ部門に来たばかりの宮野に、なぜインシデント対応を任せたのか。大場さんなりの考えがあったのだと思う。インシデント対応は、マニュアルだけでは学べない。実際に事故が起きた時に、何を確認し、誰に連絡し、どう判断するか。現場で経験するしかない。宮野を実践で鍛えるつもりだったのだろう。
宮野はインシデント対応でも力を発揮し始めていた。セキュリティの知識は三島の教育と実務で身についてきたし、何より彼女には現場とのコミュニケーション能力があった。監査や教育で工場の現場に行くと、宮野は作業員と自然に話ができた。僕が「アクセス制御の粒度」と言うところを、宮野は「この部屋の鍵、誰が持ってますか？」と聞く。同じことを聞いているのに、返ってくる答えの量と質が違った。
僕が指摘した後に、現場の人間に「柏木さんはああ言ってますけど、要はこういうことなんで」とフォローを入れてくれることもあった。僕の正論を、現場の言葉に翻訳する。僕にないものを、宮野は持っていた。
四人が四人とも、得意なことが違っていた。大場さんの穏やかさ、三島の正確さ、宮野の柔らかさ、僕の——なんだろう。しつこさ、だろうか。規定と現実の乖離を、絶対に見逃さないしつこさ。
嫌われる才能、かもしれない。
ある日、宮野がインシデント対応でミスをした。
詳しいことは書けない。ただ、対応の手順の中で、判断を一つ誤った。結果的に大事には至らなかったが、タイミングが悪ければ影響が広がっていた可能性があるミスだった。
その日の夜、僕のスマートフォンが鳴った。宮野からだった。
「柏木さん、今からお会いできませんか」
声が震えていた。泣いているのがわかった。
時計を見た。夜の九時を過ぎていた。
「今から？」
「すみません、わかってます、こんな時間に。でも、どうしたらいいかわからなくて——」
僕は少し考えた。駆けつけることは、できた。車で三十分もかからない距離だ。宮野が泣いている。仕事のミスで追い詰められている。同僚として、先輩として、行くべきかもしれない。
でも、僕は行かなかった。
「宮野さん、落ち着いて。まず、今日のことは明日ちゃんと振り返ろう。手順の見直しが必要なところは、僕も一緒に確認するから」
「……はい」
「大丈夫。大事にはなってない。明日の朝、話そう」
電話を切った後、しばらくスマートフォンを手に持ったまま動けなかった。
正しい判断だったと思う。夜の九時過ぎに、パートナーがいるもの同士が会うのは、仕事の相談だとしても誤解を招く。翌朝、職場で話せばいいことだ。合理的な判断だ。
でも、合理的な判断が常に正しいとは限らない。
翌朝、宮野はいつもの笑顔で出社した。目が少し赤かったが、それには触れなかった。二人でインシデントの振り返りをして、手順の改善点を洗い出して、是正処置を起案した。仕事としては、きちんと完了した。
宮野はその後も、インシデント対応をしっかりこなした。あの夜のミスを、彼女はちゃんと糧にした。芯の強い子だった。
でも、あの電話の声を、僕は忘れられない。
駆けつけていたら、何か変わっていただろうか。宮野が一人で泣いている時間は、短くなっていたかもしれない。それだけではなく——僕と宮野の間にある何かが、違う形になっていたかもしれない。
お互いにパートナーがいる。行かなかったのは正しい判断だ。でも、正しさとは別のところで、僕は行きたかったのだと思う。泣いている人間を放っておけないという、それだけのことだったのかもしれない。それだけのことだったと、思いたい。
入社した頃に告白されていたことに気づかなかった話を、前に書いた。僕という人間は、仕事に没頭すると他のことが見えなくなる。そしてどうやら、仕事に没頭していない時でも、人の感情の機微に鈍いようだ。鈍いくせに、こういう時だけ妙に後悔する。
これは成長しない欠点だ。
三島が辞めたのは、その少し後だった。
前兆はあったらしい。宮野が僕に言った。
「柏木さん、三島さん最近元気ないの気づいてます？」
「……いや」
「やっぱり。柏木さんは気づかないと思ってました」
宮野は呆れたように、でも優しく笑った。
三島の仕事は正確で丁寧だったが、ある時期から表情が硬くなっていたらしい。僕は気づいていなかった。仕事以外のことに鈍い性格は相変わらずだった。
三島の退職の理由を、僕は詳しくは聞いていない。ただ、断片的に聞こえてきた話はあった。セキュリティ部門以外のメンバー——僕たち四人ではない、別の部署の人間——との折り合いがつかなくなっていたらしい。監査コントロールという仕事は、各拠点との調整の連続だ。監査のスケジュールを組めば「その日は忙しい」と言われ、指摘への是正処置を催促すれば「まだできていない」と返される。苦情の窓口も三島だった。僕が現場で厳しいことを言い、その反発が三島のところに来る。
三島自身は穏やかな人間だ。争いごとは好まない。でも、監査コントロールという仕事は、人と人の間に立ち続ける仕事だ。板挟みの中で、三島は静かに消耗していたのだろう。
「管理できる気がしない」。三島がそう漏らしたと、後から聞いた。
不思議なことに、三島の態度が荒くなったとか、当たりが強くなったとか、そういうことは一切なかった。最後まで正確で、丁寧で、穏やかだった。だから僕は気づかなかった。壊れる前に静かに去る人間のことを、僕は見抜けない。
三島が去った日、僕はいつも通り仕事をしていた。「お疲れさまでした」と言った。それだけだった。
「柏木さん、もっと何か言ってあげたらよかったのに」
宮野がぽつりと言った。
「何を言えばよかった？」
「わかんないですけど。でも、もっと何かあったでしょう」
宮野は正しかった。たぶん。でも僕には、「お疲れさまでした」以外の言葉が見つからなかった。
三島がいなくなって、監査のコントロールは僕が引き取った。監査員と事務局の兼任。自分で監査計画を立て、自分で拠点と日程を調整し、自分で監査に行き、自分で報告書をまとめる。
宮野に手伝ってもらうことも増えた。
「柏木さん、日向工場の監査日程、先方から回答来ました」
「ありがとう。……また日程変更のお願い？」
「三回目です」
「日向らしいね」
宮野が笑った。彼女は日向工場の「手がかかる」具合を、もう十分に理解していた。
大場さんが定年を迎えたのは、静かな春の日だった。
最後の日も、大場さんはいつも通りの時間に出社して、いつも通りの席に座って、いつも通りモニターを見ていた。
午後、小さな送別の場が設けられた。大場さんは短い挨拶をした。
「長い間お世話になりました。ISMSを作った時のことは、今でも覚えています。何もないところから、一人で作りました。コンサルは使いませんでした。予算がなかったからです」
小さな笑いが起きた。
「でも、自分で作ったおかげで、自分で直せました。壊れても、直し方がわかりました。これからは、柏木さんたちが直していってください」
大場さんが僕を見た。僕は小さくうなずいた。
送別の場が終わった後、大場さんが僕の席に来た。
「VASECの更新審査、来年だから。よろしく」
それだけ言って、大場さんは帰っていった。
大場さんの後任として、セキュリティ部門の部門長に就いたのは、意外な人物だった。僕をこの会社に採用した、元IT部門の上司——栗原さんだった。
栗原さんは僕の入社面接をした人だ。技術の素地がある人だし、僕のことをよく知っている。悪い人事ではなかった。
ただし、栗原さんは東京本社の所属だ。しかも本社にもあまり出社しない自由人で、基本的にリモートで仕事をしている。北条工場にいる僕とは、画面越しのやり取りがほとんどだった。
「柏木、久しぶりだな。まさかこういう形でまた一緒になるとは」
オンライン会議の画面の向こうで、栗原さんが笑った。
「僕もまさかです」
「ISMSもVASECも、お前が一番詳しいんだろう。俺は大枠を見るから、実務は任せる」
実務は任せる。予想通りの言葉だった。
栗原さんは審査の時には北条まで来て同席してくれたし、上への報告も一緒にやってくれた。部門長としての役割は果たしてくれていた。でも、普段この工場にいるのは僕だけだ。ISMSの文書体系を頭に入れているのは僕だ。VASECの要求事項を原文で読めるのは僕だ。監査の計画から実施まで一人でやれるのも、インシデントが起きた時に判断できるのも、僕だ。
部門長が東京にいて、僕が北条にいて、宮野がいる。だが東京の栗原さんは画面の中の人であり、この工場で実際に手を動かしているのは僕と宮野の二人だった。
大場さんが去ってから、やることが一気に押し寄せた。
引き継ぎは退職前にもやったが、本当に大変だったのは退職後だった。大場さんがいなくなって初めて見えたことがある。
ISMSの規格が改版されることが判明した。大場さんの退職と入れ違いのタイミングだった。規格が変われば、社内の文書体系も、監査の基準も、すべて見直しが必要になる。
そして、見直しを始めて気づいた。
大場さんが作った仕組みの多くが、十年前の基準のままだった。
大場さんには、良くも悪くもプライドがあった。ISMSをゼロから一人で構築した人だ。自分が作ったものに対する愛着と自負は、当然のものだったと思う。
でも、そのプライドが壁になっていた。
在職中、僕が文書や手順を変えようとすると、大場さんは抵抗した。穏やかな人だったが、自分の作ったものに手を入れられることには敏感だった。「なぜ変える必要があるの」「今のままで審査は通っているでしょう」。声を荒らげるわけではない。でも、あの穏やかな声で反対されると、押し切るのが難しかった。
だから、変えられなかった。
十年前にISMSを作った時、クラウドサービスはまだ一般的ではなかった。データは社内のサーバーに保管し、ネットワークは社内で完結する。そういう前提で設計された仕組みが、そのまま残っていた。
でも今は違う。メールはクラウドに移行した。ファイル共有もクラウドだ。業務システムも、少しずつクラウドに移行している。データは社内にあるとは限らない。十年前のやり方では、もう管理しきれなくなっていた。
大場さんがいなくなったから、変えられた。
こう書くと、大場さんの悪口のように聞こえるかもしれない。でも、そういうことではない。大場さんが作った仕組みがなければ、変えるものすらなかった。ゼロから作ることと、作ったものを手放すことは、まったく別の能力だ。大場さんはゼロから作れる人だった。でも、自分が作ったものを壊す勇気は持てなかった。
僕は、大場さんが作ったものを壊して、作り直した。規格の改版に合わせて文書体系を再構成し、クラウド環境に対応した管理策を追加し、監査のチェックリストを全面的に書き換えた。
大場さんの仕組みを壊すのは、大場さんへの裏切りだろうか。僕はそうは思わない。「自分で作ったものは、自分で直せる」。大場さんの言葉だ。僕は大場さんが作ったものを引き継ぎ、自分のものにした。自分のものにしたから、直し方がわかる。直すべき時に、直せる。
それが「継承」ということだと、僕は思っている。
大場さんから引き継いだものの中に、もう一つ厄介な案件があった。
ある大手のクライアントから受注していた業務があった。そのクライアントは外資系で、セキュリティの基準が米国基準だった。日本のISMSとは違う観点の要求が並んでいる。
大場さんが受注前のセキュリティ要件の作り込みを担当していた。クライアントから求められるセキュリティ項目に対して、「自社ではこういう取り組みをしています」と回答する書類だ。
僕が引き継いで中身を確認した時、違和感があった。
回答の内容が、実態より大きく書かれていた。やっていることを、やっている以上に見せている。下駄を履かせている、という表現が正確だ。
大場さんが意図的に嘘をついたわけではないと思う。たぶん、受注を取るために少しでも良く見せたいという判断だったのだろう。会社のためだ。悪意ではない。
でも、僕はその下駄をそのままにしておくことができなかった。
嘘はつきたくない。正確に言えば、嘘をつき続けることに耐えられない。今は通用していても、いつか見抜かれる。見抜かれた時に失うものは、最初から正直に書いた場合の比ではない。
僕は回答を書き直した。実際にやっていることだけを、正確に書いた。
一番の問題は、脆弱性診断とペネトレーションテストだった。外部からの侵入テストと、内部からの脆弱性スキャン。どちらも、正式にはやっていなかった。
完全にゼロだったわけではない。インフラ時代に付き合いのあったセキュリティベンダーに相談して、社内の端末を対象とした診断ツールを提供してもらった。そこから診断報告書を作成した。内部からの診断はこれでカバーできた。
でも外部——社外からの侵入テスト——は、正式な形では実施できていなかった。僕がインフラ時代にやっていた、ファイアウォールのポートスキャン——外部から接続可能な穴が空いていないかの定期チェック——で代用するしかなかった。
ペネトレーションテストとポートスキャンは、本質的に別物だ。ポートスキャンは「鍵が開いていないか確認する」作業。ペネトレーションテストは「実際に侵入を試みて、どこまで入れるか検証する」作業。代用にはなっても、本物にはならない。
正直に書いた。やっていることはやっていると書き、やっていないことはやっていないと書いた。
結果——失注した。
クライアントからの通知には、失注理由が明記されていた。脆弱性診断およびペネトレーションテストが十分に実施されていない、と。
正直に書いたから、失注した。下駄を履かせ続けていたら、失注しなかったかもしれない。でも、いつかは見抜かれていた。それが今だったか、一年後だったかの違いでしかない。
嘘をつかないことが正しい選択だったのか、会社に損害を与えない選択が正しかったのか。僕にはわからない。ただ、嘘をつき続けるほうが、僕には難しかった。
この失注は、後に一つの流れを作った。脆弱性診断もペネトレーションテストもできない。外部の専門家に依頼する予算もない。だったら、自分たちでできるようにするしかない。セキュリティの専門機能を社内に持つ必要がある——その問題意識が、数年後の出来事に繋がっていく。
でもそれは、もう少し先の話だ。
VASECの更新審査に臨んだ。大場さんが取得し、僕がサポートした認証を、今度は僕がリーダーとして守る番だった。
まずは文書審査だ。自社の管理体系、運用記録、エビデンスを揃えて提出する。大場さんが作り、僕が改版した文書群。クラウド対応を追加し、規格改版に合わせて再構成した、あの文書たちだ。
文書審査の結果が返ってきた。いくつかの指摘があった。
不適合ではない。だが、追加説明や修正が求められる項目があった。審査機関とのオンライン会議でフィードバックを受ける必要がある。
問題は、そのタイミングだった。
僕はその時、北条にいなかった。北条と同じ県内にある瑞穂工場で、ISMSの活動説明会をやっている最中だった。各拠点を回って、今年度のISMS活動の方針と計画を説明する年次行事だ。
説明会の合間を縫って、会議室を借り、ノートパソコンを開いてオンライン会議に接続した。画面の向こうにVASECの審査員がいる。手元には文書審査のフィードバックシート。隣の部屋では、次の説明会の参加者が集まり始めている。
ISMSの説明をしながら、VASECの指摘対応をする。二つの認証の仕事が、物理的に同時に進行している。一人で二つの認証を回すというのは、こういうことだ。
フィードバックを受けた。指摘事項の内容を確認し、対応方針を伝えた。説明会に戻り、残りのプログラムをこなした。
その日から、説明会をこなしつつ、指摘事項の対応に取りかかった。文書の修正、エビデンスの追加、不足していた記録の補完。一週間で全ての指摘事項を修正し、再提出した。
結果——指摘なし。文書審査を通過した。
審査計画書が届いた。文書審査が通らなければ、この計画書は出ない。現地審査の日程が確定した。
現地審査も乗り切った。大場さんから引き継いだバトンを、落とさずに走り切った。
毎年同じサイクルが回る。リスクアセスメント、内部監査、マネジメントレビュー、外部審査。ISMSとVASECの二重で。
大場さんの気持ちがわかった。
最初は新鮮だった作業が、三年目には作業になり、五年目には——大場さんの言葉が予言のように胸に響いた。同じことの繰り返しに、終わりはない。
お昼ご飯の時間に、宮野に愚痴をこぼしたことがある。
「同じことの繰り返しなんだよ。毎年同じ監査をして、毎年同じ指摘を出して、毎年同じ是正処置を確認して」
「それが仕事じゃないですか」
「それが仕事だけど、ずっと続くと思うと気が遠くなる」
「柏木さんがいなくなったら誰がやるんですか？」
「知らない。誰もいない」
「だったら、やるしかないじゃないですか」
宮野はあっけらかんと言った。正論だ。でも、正論が一番きつい時もある。
宮野が辞めると言い出した時、僕は平静を装った。
予兆はあった。お昼ご飯の時間に、宮野がスマートフォンを見ている時間が増えた。転職サイトだったのか、別の何かだったのかは知らない。聞かなかった。三島の時と同じだ。
「柏木さん、ちょっとお話があるんですけど」
「うん」
「私、退職しようと思ってます」
「……そっか」
「すみません」
「謝ることじゃないよ。宮野さんの人生だから」
言いながら、自分でも驚くほど冷静な声が出た。冷静だったわけではない。冷静に振る舞うことしかできなかっただけだ。
「次は何するの？」
「まだ決めてないです。でも、ちょっと違うことやりたいなって」
「そっか」
同じ言葉を二度繰り返した。他に言葉が出てこなかった。宮野に「もっと何か言ってあげたら」と言われた三島の退職の時から、僕は全く成長していなかった。
宮野の最終出社日が過ぎ、有休消化に入った。
もう会社には来ない。そう思っていた。
数日後、携帯が鳴った。宮野からだった。
「柏木さん、今日ちょっとだけ会社行ってもいいですか」
有休消化中だ。もう来る必要はないのに。
「何しに来るの」
「渡したいものがあるんです」
午後、宮野が管理棟に現れた。私服だった。セキュリティ部門の島にいる僕のところまで来て、紙袋を差し出した。
「これ、柏木さんに」
中にマグカップが入っていた。シンプルな白いマグカップで、小さなメッセージカードが添えられていた。
「柏木さん、お世話になりました。コーヒー飲む時に使ってください。宮野」
有休消化中なのに、わざわざマグカップを届けるためだけに、会社まで来たのだ。しかも直接、手渡しで。
「ありがとう」
それだけ言うのが精一杯だった。
宮野は笑って、「じゃあ」と手を振って帰っていった。私服の背中が、管理棟の廊下を歩いていく。もうこの廊下を、あの制服で歩くことはない。
僕はマグカップを手に持ったまま、しばらく自分の席に座っていた。
宮野の笑顔を思い出した。お昼ご飯の時の笑顔。チェックリストの項目を指摘した時の笑顔。「柏木さんはもっと雑談したほうがいいですよ」と言った時の笑顔。
あの夜、泣いていた声も。
僕は宮野に「お疲れさまでした」しか言わなかった。三島の時と同じだ。もっと何か言うべきだったのかもしれない。でも、僕には言葉がなかった。
マグカップでコーヒーを飲んだ。ぬるくなったインスタントコーヒーが、妙に甘かった。
宮野がいなくなって、セキュリティ部門の実働は僕一人になった。
栗原さんは東京にいる。画面の向こうにはいるが、この工場にはいない。
北条工場の管理棟二階。セキュリティ部門の島。かつて四人が座っていた席が、全部空いている。正確には、僕の席だけが埋まっている。
大場さんが一人で回していた時代に逆戻りした。いや、大場さんの時代よりも守備範囲は広がっている。ISMSだけでなくVASECもある。内部監査の件数は年間一千件に達している。コロナ対応で作ったテレワーク規程の維持管理もある。
仕組みは動いている。僕が作ったものも、大場さんが作ったものも、まだ動いている。
でも、動かしている人間は、もう限界に近かった。
在宅勤務の方針を作ったあの日、僕は一人でモニターに向かう日々を体験した。あれが予行演習だったなんて、冗談にもならない。
宮野がくれたマグカップでコーヒーを飲みながら、僕は大場さんが見ていた窓の外を見る。北条工場の敷地の向こうに、低い山が見える。
辞めたいと思ったことはあるか。
ある。今、毎日思っている。
（第4話「慰留」に続く）
