ないものは作る 第5話「作る」
組織を与えてもらえないなら、自分で作る。
その決意は、ある朝、突然やってきた——わけではない。SCoEの構想が潰されてから、腹の底に溜まっていたものが、少しずつ形を取っていった。怒りとも違う。悲しみとも違う。もっと静かで、もっと確かなもの。
きっかけは、ISMS外部審査だった。
その年のISMS外部審査で、僕は十年ぶりに不適合をもらった。
十年間、不適合なし。大場さんの時代から数えて、一度も不適合を出さずに維持してきた記録が途切れた。
指摘の内容は「リスクアセスメント」だった。
ISMSでは、各業務のリスクアセスメントを実施し、セキュリティ上の課題を特定するルールで運用している。ところが、そのリスクアセスメントの粒度が部署ごとにバラバラだった。ある部署は極端に粒度が荒く、別の部署は細かすぎる。そして、個人情報保護委員会に報告が上がるような事故を起こしているのは、総じて粒度が荒い部署だった。
審査員はその相関を見抜いた。なぜ粒度がばらつくのか。それは、リスクアセスメントの手法が各部門に十分に理解されていないからだ、と。
技術の問題ではない。文書の問題でもない。仕組みの理解度の問題だ。
仕組みはある。手順はある。テンプレートもある。でも、それを正しく使いこなせていない部門がある。
日向工場のBCC誤送信。海外拠点のパソコン盗難。手順があっても守らない。ルールがあっても読まない。全部、同じ根っこだ。
不適合を告げられた時、僕は——笑った。
審査員が少し怪訝な顔をした。不適合を告げられて笑う被審査者は珍しいだろう。
笑ったのは、嬉しかったからだ。
不適合は、武器になる。
十年間不適合なしの記録は、一見すると誇らしい。でも、裏を返せば「今のままでいい」という現状維持の根拠にもなる。何も指摘されていないのだから、何も変える必要はない。そういう空気が、社内にはあった。
教育を強化したいと言っても、「不適合出てないんでしょ？ 今のままでいいじゃないですか」と返される。セキュリティの学習環境を整えたいと言っても、「予算がない」で終わる。
不適合を出したことで、その壁が崩れた。
「外部審査で不適合が出ました。リスクアセスメントの手法が部門間で統一されておらず、理解度にばらつきがあります。是正措置として、教育体制を強化する必要があります」
これは、僕の意見ではない。外部の審査機関が指摘した事実だ。
是正措置には期限がある。次の審査までに、改善を示さなければならない。「予算がない」「今のままでいい」では済まない。
僕は、この不適合を待っていたのかもしれない。
年末。十二月の最終週。
僕は一週間で、学習サイトを作った。
情報セキュリティの基礎知識、社内ルールの解説、インシデント事例の紹介、理解度テスト。全部入りの学習プラットフォームを、一人で構築した。AIを使った。
僕は以前から、個人的にAIを使ったシステム開発をやっていた。プライベートで、Webアプリケーションをいくつか作っていた。フレームワークを使わず、素のHTML、CSS、JavaScriptで書く。クラウドのサーバーレス環境にデプロイする。個人開発の経験が、ここで活きた。
学習サイトのコンテンツはAIに下書きを作らせ、僕が内容を精査して修正した。テスト問題も同じ方法で作った。デザインは最低限だが、機能する。必要な情報が、必要な形で提供される。それで十分だ。
一週間。たった一週間で、社内の誰も作れなかったものを作った。
外注すれば何ヶ月もかかり、何百万円もかかる仕事だ。僕は一人で、一週間で、ほぼゼロ円で作った。
コンサルは入れない。外注もしない。ないものは、自分で作る。
学習サイトを社内に展開した日、僕は自分のデスクでコーヒーを飲んでいた。宮野のマグカップで。
画面には、学習サイトのアクセスログが表示されていた。各工場から、従業員がアクセスし始めている。北条、南陽、矢萩、日向。理解度テストの回答がリアルタイムで集まってくる。
仕組みが動いている。
僕が作ったものが、僕の手を離れて、動き始めている。
その感覚は、インフラ時代にネットワークを構築した時と同じだった。自分が設計したものの上で、他の人間が仕事をしている。目に見えないけれど、確実に動いている。
同時に、大場さんがISMSを作った時の気持ちが、ほんの少しだけわかった気がした。
ゼロから仕組みを作る喜び。自分で作ったものが、認められる手応え。大場さんが最初のISMS審査に通った時に感じたという、あの感覚。
学習サイトは始まりに過ぎなかった。
堰を切ったように、僕は作り続けた。
次に作ったのは、入退館記録システムだった。
入退館管理は、どの工場でもやっている。紙の台帳に名前と時間を書く。アナログだが、北条も南陽も矢萩も、ちゃんと記録を取っていた。
日向工場だけが、取っていなかった。
入退館記録がない。誰がいつ工場に入って、いつ出たのか、記録がない。セキュリティの基本中の基本が、あの工場ではできていなかった。だから、作った。AIを使って、Webベースの入退館記録システムを構築した。QRコードで入退館を記録し、データはクラウドに保存される。検索も集計もワンクリック。紙の台帳どころか、記録そのものがなかった場所に、仕組みをゼロから入れた。
一ヶ月かからずに完成した。まず日向工場で運用を開始し、南陽工場にも展開した。とにかく早く動くものを、という方針で、必要最低限の機能だけを実装した。記録を取る。保存する。検索する。それだけ。後にこのシステムには、もう一度手を入れることになる。でも、それはもう少し先の話だ。
学習サイトと入退館記録システム。どちらも、AIを使って、一人で、ほぼゼロ円で作った。
SCoEの構想に含まれていたAI開発。組織は作ってもらえなかった。でも、組織がなくても、作ることはできる。
SCoEで予定していた仕事を、SCoEがないまま、一人で実行している。組織図上に僕のチームは存在しない。でも、機能としては動いている。
同じ時期、資格も取り続けていた。
クラウドの認定資格。AIの認定資格。複数のベンダー資格を、短期間で取得していった。
武器を増やしている、と言えばかっこいいが、実際には「文句を言わせないため」だ。
SCoEの責任者に据える案が「評判がよくない」で潰された。評判を変えることは難しい。でも、実績と資格は客観的な事実だ。事実は、評判よりも強い——はずだ。少なくとも、僕はそう信じることにした。
BCPの対応では、この年初めてコンサルを入れた。事業継続計画の策定は、さすがに専門知識が必要な領域だ。外部のコンサルタントが作成した成果物を受け取り、内容を理解した。
そして、その成果物を見て、他の工場への水平展開は自分でやった。
コンサルから学べるものは学ぶ。でも、依存はしない。学んだら、自分のものにする。自分のものにしたら、自分で展開する。
大場さんの言葉が、ここに来て完全に腑に落ちた。
「コンサルに頼ると、コンサルがいないと回せなくなる。自分たちで作ったものは、自分で直せる」
自分で作ったものは、自分で直せる。自分で直せるから、自分で展開できる。自分で展開できるから、コンサルがいなくても回る。
ある夜、自宅で画面に向かいながら、ふと思った。
僕は今、何をしているのだろう。
SCoEを作ってもらえなかった怒りで動いているのか。それとも——
いや、怒りは最初の燃料だったかもしれない。でも、今動いている力は、怒りとは違う。
学習サイトを作っている時、入退館システムを設計している時、画面のUIを調整している時。僕は、楽しかった。
楽しい、という感覚を、セキュリティの仕事で感じたのは、いつ以来だろう。
ISMSのPDCAサイクルを回すのは楽しくなかった。同じことの繰り返しだった。監査で不適合を出すのは必要な仕事だが、楽しくはない。外部審査の緊張感は達成感と表裏だが、楽しさとは違う。
ゼロから何かを作ること。ないものを形にすること。それが、僕にとっての「楽しい」だった。
インフラ時代に工場のネットワークを構築した時の感覚。ケーブルを敷設し、スイッチを設定し、テストして、通信が通った瞬間。あの感覚だ。
僕は、守る仕事ではなく、作る仕事をしている時に、一番生き生きする。
大場さんもそうだったのかもしれない。ISMSを最初に構築した時は生き生きしていたが、維持する段階になって疲弊した。コロナ対応やVASEC取得という「新しく作る」仕事が来た時に復活した。
守る仕事に耐えられない人間が、作る仕事で蘇る。
「ないものは作る」——あの会社に二度落ちた言葉が、僕の行動原理になっていた。
行きたかった場所の哲学が、いる場所で実現している。行けなかったからこそ、自分の中に根を下ろしたのかもしれない。入社していたら、当たり前の社風として消費されていた言葉が、外から憧れ続けたからこそ、僕の中で生き続けている。
そして、VASECの審査が迫っていた。
今回の審査は、これまでとは違う。二つの点で。
一つは、審査範囲の拡大。これまでは北条工場だけが対象だった。僕が目の届く範囲。僕が作った仕組みが直接運用されている場所。今回から、南陽工場と日向工場が審査範囲に加わった。
そして日向工場。ランサムウェアの発信元。クラウド移行で手順を守らなかった工場。BCCをCCで送信した工場。何度も問題を起こし、何度も指摘し、何度も緊急監査に行った、あの日向工場が、VASEC審査の対象になる。
もう一つは、審査レベルの変更だ。前回まではレベル2で認証を受けていた。今回、僕はこれをレベル1に下げる判断をした。
ただし、勝手に下げたわけではない。
VASECのラベルを要求しているクライアントに、一社ずつ確認した。「レベル2でないとダメですか」。
答えは、全社同じだった。レベル2である必要はない。
全社だ。一社の例外もなかった。
じゃあ、なぜレベル2で取っていたのか。
大場さんが初回認証の時にレベル2を選んだ理由を、僕は知らない。大場さんはもういないから聞けない。おそらく、必要より高いレベルで取っておけば間違いない、という判断だったのだろう。間違いではない。でも、誰も求めていない水準を維持し続けるのは、正しさとは別の話だ。
過剰な認証レベルを維持することが目的ではない。必要な水準を、確実に満たすことが目的だ。仕組みを作るだけでなく、仕組みそのものを疑う。それも、僕の仕事だ。
レベル1の審査は、本来なら文書審査だけで完了する。書類を揃えて提出し、審査機関がチェックして、問題がなければ認証が下りる。現地に審査員が来る必要はない。
でも、僕はオンサイト審査も依頼した。
レベル2で何年も運用してきた仕組みを、いきなりレベル1の文書審査だけで通すのが怖かった。レベルを下げたことで、どこかに緩みが出ていないか。文書上は問題なくても、現場で何かが崩れていないか。それを外部の目で確認してもらいたかった。
審査計画書が届いた。文書審査の後に、北条・南陽・日向の三工場をオンサイトで回る計画だ。
まずは文書審査だ。自社の取り組みと、それを裏付けるエビデンスをすべて揃えて提出する。ポリシー、手順書、教育記録、監査記録、インシデント対応記録、リスクアセスメントの結果——膨大な量の文書を、審査機関が定めるフォーマットに沿って整理し、提出する。
これを一人でやるのは、さすがに無理だった。各部門に依頼した。「自部門の取り組みとエビデンスをまとめてほしい」。反応は部門によって温度差があった。すぐに動いてくれる部門もあれば、「忙しい」「何を出せばいいかわからない」と返してくる部門もあった。後者には、何を出せばいいかを具体的に説明し、テンプレートを渡し、期限を区切った。何年も監査をやってきた経験が、ここで活きた。
各部門から集まったエビデンスを、僕はAIを使ってまとめ上げた。部門ごとにフォーマットもバラバラ、粒度もバラバラの資料を、VASEC基準の要求事項に沿って再構成する。どのエビデンスがどの要求事項に対応するかを整理し、漏れがないかチェックし、審査機関が読める形に仕上げる。手作業でやったら何週間もかかる作業を、AIに下書きを作らせ、僕が内容を精査して仕上げた。学習サイトを作った時と同じ方法だ。
文書審査の提出予定は、二月だった。
だが、提出できなかった。一つ、どうしても満たせない要求事項があった。
プロジェクトの管理と分類だ。
VASECの審査基準では、新しく立ち上がる案件——プロジェクト——について、その計画から終了までの各段階で情報セキュリティのリスクを管理することが求められている。今回の審査では、それがさらに踏み込んでいた。発生したプロジェクトを、リスクの高低や重要度に応じて分類し、一元管理しなければならない。
プロジェクトというのは、新しい業務が始まる時、システムを作る時、AIツールを選定する時、クラウドを導入する時、避難訓練を計画する時——そういう、これから立ち上げる案件のことだ。それぞれの案件が発生した時点で、どの程度のリスクを持つのか、どの優先度で扱うべきなのかを、最初に判定して分類する。そうすれば、担当者は「どの案件から手をつけるべきか」を迷わずに済む。
うちには、その仕組みがなかった。申請が必要な案件は、種類ごとにバラバラのフォームで受け付けていた。フォームはあるが、横断的に一元管理されていない。さらに厄介なのは、新しい業務の立ち上げだ。これは申請フォームすら通らない。「こういう業務を始めたいんですが」という問い合わせベースで降ってくる。記録されないまま、口頭やメールで話が進む。発生したプロジェクトが、リスクの判定も優先度の整理もされないまま、どこにも記録されずに流れていく。
仕組みを作るしかなかった。申請された案件を一元管理し、リスクをAIで自動判定して分類し、担当者に重要度を初期段階で伝える。それが、この要求事項を満たすための仕組みだ。
僕は上司の栗原さんに相談した。
「プロジェクト管理と分類の仕組みを作らないと、文書審査を通せません」
栗原さんは渋った。
「意味がわからない。今まで申請フォームでやってきたんだろう？ それで何が問題なんだ」
「フォームはあります。でも、種類ごとにバラバラで、横断的に管理できていません。それに、新しい業務の立ち上げはフォームすら通らない。問い合わせベースで来て、どこにも記録されないまま進んでいきます。案件のリスク分類もできていない。審査基準では、そこの一元管理が求められています」
「そんなの、わざわざシステムを作らなくても、運用でなんとかなるだろう」
「運用でなんとかするのは、もう限界です。日向工場のBCC誤送信も、手順があっても守らなかったから起きました。仕組みがないと、また同じことが起きます」
「……とにかく、まずはイメージを持ってこい」
栗原さんはそう言って、話を打ち切った。
イメージ——プロジェクト管理と分類の仕組みが、どういう画面で、どういう機能を持つのか。それを具体的に見せろ、ということだ。
僕は、その週末にイメージを作った。AIを使って、プロジェクト管理システムの画面モックと、分類ルールのフロー図を作成した。
月曜日、栗原さんにイメージを見せた。
「これなら、文書審査を通せます」
栗原さんはしばらく黙って画面を見ていた。
「……わかった。やれ」
承認が下りた。賭けだった。期限ギリギリだから承認せざるを得ないだろう、という打算もあった。でも、それ以上に、「これなら通せる」という確信があった。
承認が下りたその日から、僕は作り始めた。プロジェクト管理と分類の仕組みを、AIを使って、一人で構築した。申請された案件の一元管理、リスクの自動分類、進捗の可視化。必要な機能を、必要なだけ。
三月、文書審査の仕上げと、六月に控えたオンサイト審査の事前確認を兼ねて、南陽工場と日向工場に出張した。
日向工場に入って、まず学習サイトの受講履歴を確認した。理解度テストの結果もあった。入退館記録システムは、問題なく運用されていた。
ただし、衝撃的な問題が一つ見つかった。
請負契約だ。外部の業者に作業を委託する際には、請負契約を締結しなければならない。発注者と受注者の双方が取り交わす、基本中の基本だ。日向工場では、発注者側の書類だけで処理されていた。受注者との契約書が存在しない案件があった。
契約という概念を、理解していなかった。
ランサムウェアの時は「メールの添付ファイルを開く」だった。BCC誤送信の時は「手順書を読まない」だった。今度は「契約の意味がわかっていない」だ。問題の質が、毎回違う。
指摘して、是正を求めた。だがこれは根が深く、契約相手との調整も必要で、すぐには片付かなかった。三月に見つけたこの問題は、後々まで尾を引くことになる。
四月。文書審査を提出した。結果が返ってきた。指摘事項なし。一発で通過した。
二月に止まっていた審査が、二ヶ月遅れて、動き出した。
文書審査が通ったことで、次は現地審査だ。審査員が実際に工場を訪問し、文書に書かれていることが現場で本当に実行されているかを確認する。
審査は六月。文書審査が通ってから現地審査まで、二ヶ月ほどある。その間に、僕はもう一つ、やっておきたいことがあった。
入退館記録システムの作り直しだ。
日向工場のために急いで作った、あのシステム。とにかく早く動くものを、という方針で、必要最低限の機能だけで作った。記録を取って、保存して、検索する。それで日向の「記録がない」問題は解決した。
でも、使っているうちに、足りないものが見えてきた。特に、監査ログだ。誰がいつシステムにアクセスして、何を変更したのか。セキュリティのためのシステムなのに、システム自体の操作履歴が残らないのは間抜けな話だった。
僕はこのシステムを作り直すことにした。最初に使った素朴な作り方をやめて、ちゃんとしたフレームワーク——本格的なWebアプリケーションを作るための土台——を使って、ゼロから組み直した。監査ログの機能を加え、操作履歴を全部記録するようにした。画面の使い勝手も改善した。
審査を控えた時期に、動いているシステムをわざわざ作り直す。普通なら、やらない。動いているものに手を入れて、もし不具合が出たら、審査に間に合わなくなる。リスクでしかない。
でも、やった。中途半端なものを審査に出したくなかった。というより——作りたかったのだと思う。足りないものが見えてしまったら、埋めずにはいられない。それが、僕の性分だった。
オンサイト審査が近づくにつれて、日向工場の問題が次々に噴き出した。
契約だけではなかった。
四月、日向工場の鍵管理がひどいことが発覚した。どの鍵がどの部屋に対応しているか、保管場所の整理も貸出記録も、全部がずたぼろだった。一ヶ月かけて修正させた。これは審査前に間に合った。法定保管期間を超えて保管され続けている書類も見つかった。法律で定められた保管期間をとっくに過ぎているのに、処分されずに残っていた。不要になった個人情報を、必要以上に抱え込んでいたことになる。
そして、審査の前の週。
設備の絶縁不良が発覚した。電気設備は、定期的に絶縁抵抗を測定して、漏電のリスクがないかを確認しなければならない。法律で定められた点検だ。ところが日向では、その測定が何年も滞っていた。慌てて測定したところ、基準を満たさない設備が次々と見つかった。一台や二台ではない。工場じゅうの設備が、軒並み基準を割っていた。
絶縁抵抗測定。一見、セキュリティとは無関係に見える。でも、VASECの審査では設備の管理状況も確認される。サーバーや通信機器に電源を供給している電気設備が、漏電点検もされずに放置されている。それは、情報資産を支えるインフラの管理ができていないということだ。漏電による火災でサーバーごとデータが焼ければ、それはもう立派なセキュリティ事故だ。点検を怠った末の火災なら、なおさら言い訳が利かない。
審査の前の週に発覚して、もう時間がない。測定の結果、基準を満たさない設備がいくつも見つかっていた。発覚したその日に、交換を手配させた。日向の担当者は面食らっていたが、対応は潔かった。「ダメなものは全部交換します」。基準を満たさない設備の交換を一括で発注した。ただ、台数が多い。審査開始までには終わらなかった。
そして、三月に見つけた請負契約は、六月の審査が始まっても、まだ対応中のままだった。
不安だった。北条工場は自分の目が届く。でも日向工場は遠い。物理的にも、組織的にも。いくら仕組みを整えても、現場が守らなければ意味がない。それは何年もかけて学んだことだ。
ただ、審査が近づくにつれて、日向工場の空気は変わっていった。
審査のスケジュールと審査項目を改めて共有した頃から、担当者たちの目の色が変わった。書類を整理し、記録を確認し、自分たちの取り組みを説明する練習をしていた。三月の事前チェックではあれだけ問題が噴出した工場が、審査を受ける姿勢になっていく。人は、締切が見えると動く。
ちなみに、この審査準備の真っ最中に、まったく別の仕事も降ってきていた。
数ヶ月前に、業務効率化のために作ったブラウザ拡張機能があった。社員がブラウザ上で使う、ちょっとした補助ツールだ。それが、よりによってこのタイミングで不具合の報告と改修要望が立て続けに上がってきた。
審査の準備で日向工場を駆け回りながら、夜はホテルでブラウザ拡張のバグを直している。契約の是正、絶縁不良設備の交換手配、各部門のエビデンス確認、そして審査とは無関係なブラウザ拡張の改修。全部が同時並行で動いていた。
一人で全部やっている。手が何本あっても足りない。でも、誰かに振れる仕事でもない。作ったのが僕で、わかるのも僕だけだ。属人化の極みだ。それを自分で作り出している。
笑えてくる。逃げる準備を重ねた結果がこれだ。何もかも、自分にしかできない仕事になっている。
審査当日。審査員が来た。北条工場はフル審査。南陽工場と日向工場は差分審査だ。前回からの変更点を中心に確認する。全部は見ない。
審査は数日がかりだった。北条工場で二日。それから南陽工場に移動して一日。最後に日向工場へ移動して一日。僕は全工場に同行した。北条では自分が審査対応のメインを務め、南陽と日向では現地の担当者をサポートする形だ。
北条工場の審査は、問題なく進んだ。何年もやってきた場所だ。仕組みの隅々まで頭に入っている。審査員の質問に、淀みなく答えた。
南陽工場も、大きな問題はなかった。
南陽工場の審査をしている最中に、僕のスマートフォンに連絡が入った。日向工場からだった。設備の交換、全台終わりました——。審査の前の週に発覚して、審査が始まっても終わっていなかった交換作業が、ようやく片付いた。北条と南陽で審査員の相手をしている間に、日向では電気業者が基準を割った設備を入れ替え続けていたのだ。間に合った。ぎりぎりだった。
そして、日向工場へ移動した。
審査員が到着する前に、僕は現場を一通り確認して回った。最後の点検のつもりだった。
総務の部屋に入って、ぎょっとした。
監視カメラの映像を記録するサーバーが置いてある。重要な設備だ。そのサーバーが、耐震固定されていなかった。
地震が来たら棚から落ちる。落ちたらデータが飛ぶ。審査員に見られたら指摘される。事前チェックのリストにあれだけ問題があったのに、まだ漏れがあった。
僕は耐震シールを探し出して、自分の手でサーバーを棚に固定した。審査の当日に、審査員が来る直前に、セキュリティ管理者が耐震シールを貼っている。何の仕事をしているのか、自分でもわからなくなる瞬間だった。
それでも、日向工場の担当者たちは、変わっていた。僕は後ろから見守っていた。口は出さない。ここは日向工場の担当者が答える場だ。
受審姿勢は、良かった。質問に対して、自分たちの言葉で説明していた。「柏木さんに言われたからやっている」ではなく、「自分たちがこういう理由でこうしている」と答えていた。僕が作った学習サイトの画面を見せ、入退館記録システムを操作して見せ、教育の記録を提示した。
審査員がうなずいた。
ただ、一つだけ冷や汗をかいた場面があった。
審査員が、設備の管理記録を見たいと言った。例の、絶縁抵抗測定と設備交換の記録だ。前の週に発覚して、審査中にようやく終わらせた、あれだ。
記録自体は、ある。測定して、基準を満たさないものを交換して、結果も残っている。問題なし——のはずだった。
だが審査員は、記録の日付を見た。
「これ、実施日がついこの間になっていますね」
会議室の空気が、一瞬止まった。
「以前の点検記録はありますか」
日向の担当者が答えに詰まった。以前の記録は——ない。何年も点検していなかったのだから、あるはずがない。直前に慌てて帳尻を合わせたことが、日付から透けて見えていた。
審査員は、それ以上は追及しなかった。ただ、「定期的な点検が計画通り実施される仕組みを整えてください」と言って、これを観察事項として記録した。
取り繕った跡は、見抜かれる。当然だ。審査員はそういう不自然さを見抜くプロだ。直前に揃えた記録は、直前に揃えたとわかる。
不適合にはならなかった。点検自体は実施されているし、今後の改善を約束すれば足りる、という判断だったのだろう。観察事項——「現時点では問題ないが、改善が望ましい」という位置づけだ。
僕は後ろで聞きながら、複雑な気持ちだった。間に合わせたのは僕だ。前の週に見つけて、業者を急かして、審査の最中にようやく終わらせた。やらなければ、もっと厳しい指摘を受けていた。でも、やったことで「直前に取り繕った」痕跡が残った。
どちらにしても、根本的な問題は同じだ。日向工場は、計画的に設備を管理する仕組みを持っていない。記録を揃えても、仕組みがなければ、また同じことが起きる。
冷や汗をかいた場面は、もう一つあった。
例の請負契約だ。三月の事前チェックで見つけて、是正を求めていたが、契約相手との調整が必要で、審査が始まってもまだ片付いていなかった。審査員がその話題に触れた時、僕は内心ひやりとした。
「この件は、現在対応中です」
そう答えるしかなかった。嘘ではない。本当に対応中だ。ただ、「対応中」という言葉が、どれだけ便利な逃げ場になるかも、僕は知っていた。完了していないことを、完了に向けて動いている、と言い換える。審査員も、それ以上は突っ込まなかった。対応中である証拠——やり取りの記録や是正計画——を示せたからだ。
逃げた、という感覚が残った。正面から「できていません」と認めたわけではない。「対応中です」という言葉で、その場をしのいだ。間違ったことは言っていない。でも、胸を張れることでもなかった。
差分審査だから、審査員が見る範囲は限られている。日向の担当者たちが準備したものの多くは、審査の対象にならなかった。
審査結果が出た。不適合はなし。観察事項と改善の機会が、いくつか。
不適合なし——これは良い結果だ。北条だけでなく、南陽も、日向も。僕が作った仕組みが、僕の手が届かない場所でも機能していた。
ただ、改善の機会の一つに、僕は引っかかった。
ある管理策について、要求事項では明確に実施が求められている項目が、うちでは対応できていなかった。本来なら不適合になってもおかしくない。それが「改善の機会」として処理された。
審査員補の資格を持っている人間として、僕は思った。これは不適合ではないのか、と。要求事項に対して、実施していない。それは「改善の余地がある」ではなく「要求を満たしていない」だ。
でも、審査を受ける側としては、助かった。不適合がつけば、是正処置が必要になり、フォローアップ審査が発生する。改善の機会なら、次回までに対応すればいい。
審査する側の視点と、受ける側の立場。二つが僕の中でぶつかっていた。大学の学位も審査員の資格も、逃げ道として取ったものだ。でも、その逃げ道が、こういう場面で複雑な感情を生む。
もう一件、管理ツールの画面にサポートが終了した古い環境が表示されているのを見られた。IT部門の管轄で、僕の管理範囲外だ。でも、審査員の目にはそんな区別は関係ない。仕組みの外側に、また弱点があった。
審査が全部終わった後、日向工場からこんな声が聞こえてきた。
「せっかく準備したのに、全然見てもらえなかった」
差分審査だから、前回からの変更点しか見ない。日向の担当者たちが必死で準備した書類や記録の多くは、審査の対象外だった。不満だったらしい。
僕は、その不満を聞いて、少し笑ってしまった。
「柏木さんが来ると胃が痛い」と言っていた工場が、「せっかくやったのに見てもらえなかった」と悔しがっている。
恐怖が、当事者意識に変わっていた。
見てもらいたかった。自分たちの取り組みを、外部の審査員に認めてもらいたかった。それは、仕組みを押しつけられた側が、仕組みを自分のものとして誇りに思い始めた証拠だ。
仕組みは、浸透した。完璧にではないが、確実に。
審査員が帰った後、僕は北条工場の会議室で、一人椅子に座っていた。
缶コーヒーではなく、マグカップのコーヒーを飲んでいた。宮野のマグカップ。
ふと、思った。
もし宮野がいたら、この一年をどう過ごしただろう。
前回のVASEC更新審査の時は、宮野がいた。あの時、僕がクライアントへの説明資料の不備を指摘して、現場が硬直した場面があった。空気が凍りかけたところで、宮野が「要はこういうことですよね」と現場の言葉に翻訳して、場をほぐしてくれた。僕一人だったら、たぶんあの審査はもっとぎくしゃくしていた。
今回、宮野はいなかった。
日向工場で担当者の顔がこわばった時、宮野がいたら何と言っただろう。「大丈夫ですよ、ちゃんと準備してきたじゃないですか」とでも言って、肩の力を抜かせただろうか。請負契約が片付かなくて僕が苛立っていた時、「柏木さん、根が深い問題は焦っても仕方ないですよ」と笑っただろうか。耐震シールを審査直前に一人で貼っている僕を見て、「何やってるんですか」と呆れて、それから一緒に貼ってくれただろうか。
想像の中の宮野は、よく笑う。
実際には、僕は全部一人でやった。指摘も、翻訳も、現場のフォローも、シールを貼るのも。宮野がやってくれていたことを、今は自分でやっている。下手くそに、不器用に。それでも、なんとか回している。
たぶん僕は、この一年、ずっと宮野のことを思い出していた。四人で仕事をしていた頃の、あの噛み合っていた感覚を。一人で全部やりながら、心のどこかで、あの頃の二人三脚を懐かしんでいた。
マグカップのコーヒーは、もう冷めていた。
一年間のプロジェクトが終わった。レベルの変更を決め、クライアントと交渉し、文書審査のエビデンスを各部門と作り上げ、日向の鍵管理を立て直し、審査当日に耐震シールを貼り、審査に同行した。全部終わった。
達成感は、あった。でも、それだけではなかった。
一年間、このプロジェクトを軸に仕事をしてきた。目標があり、期限があり、やるべきことが明確だった。それが終わった。次のVASEC審査は三年後だ。ISMSの年次サイクルは続くが、VASECほどの緊張感はない。
寂しさ、のようなものがあった。
そして、正直に言えば——なんとか逃げたところもある。請負契約は「対応中です」でその場をしのいだ。改善の機会として処理された項目は、本来なら不適合だった。次の審査までに作り込まなければならない。サポート切れの環境も対処が必要だ。絶縁設備を審査直前に駆け込みで交換した跡も、観察事項として残った。
審査は通った。でも、完璧に通ったわけではない。
それでいい、と思った。完璧に通ることが目的ではない。仕組みを動かし、足りないところを見つけ、次に向けて作り込む。ISMSのPDCAサイクルそのものだ。大場さんが何年も回し続けてきた、あのサイクル。
何かが劇的に変わったわけではない。
SCoEは、まだ組織図上に存在しない。社内の評判が急に良くなったわけでもない。栗原さんは相変わらずどこかにいる。日向工場が突然優等生になったわけでもない。
でも、仕組みは動いている。
学習サイトには、毎日アクセスがある。入退館記録システムは、日向と南陽で稼働し続けている。プロジェクト管理ツールで、セキュリティ関連のタスクが可視化されている。
全部、僕が作ったものだ。AIを使って、一人で、組織の承認もなく、ただ「必要だから」という理由で作ったもの。
組織はくれなかった。でも、機能は作った。
肩書きはもらえなかった。でも、仕組みは動いている。
大場さんが言った。「仕組みは残る」。
大場さんが作ったISMSは残っている。僕が引き継ぎ、改善し、今も回している。
そして今、僕が作った仕組みも、残り始めている。
パソコンに、新しいアラートが届いた。
ウイルス対策システムからの通知。入社して最初に任された、あのシステムだ。
検知元は——別の工場だった。日向ではない。
また、どこかで何かが起きている。
僕はマグカップを置いて、アラートの内容を確認し始めた。
また対応する。また確認する。また指摘する。また嫌われるかもしれない。また「柏木さんが来ると胃が痛い」と言われるかもしれない。
でも、いい。仕組みがあれば、直せる。仕組みがなければ、作る。
ないものは、作ればいい。
あの会社には、二度落ちた。
「ないものは作る」と掲げた場所に、僕は行けなかった。
でも、行けなかったからこそ、あの言葉は僕の中で特別な意味を持ち続けた。入社していたら、壁に飾られた額縁の一つとして通り過ぎていたかもしれない。行けなかったから、憧れ続けた。憧れ続けたから、自分の中に刻まれた。
大場さんから引き継いだ言葉がある。「自分で作ったものは、自分で直せる」。
行きたかった場所の言葉がある。「ないものは作る」。
二つの言葉が、いつの間にか一つになっていた。
ないものは作る。自分で作ったものは、自分で直せる。
僕は、今日もモニターの前に座っている。北条工場の管理棟二階。セキュリティ部門の静かな島。隣の席は空いている。大場さんの席も、三島の席も、宮野の席も、誰も座っていない。
時々、四人で仕事をしていた頃のことを思い出す。あの頃の仕事は面白かった。誰かと一緒に仕組みを作ることが、あんなに面白いとは思わなかった。今、一人で作り続けているのは、あの面白さをもう一度味わいたいからなのかもしれない。
でも、デスクの上にマグカップがある。毎朝、コーヒーを注いで飲んでいる。
明日も、ここにいるだろう。明後日も。来年も。
辞められないからではない。
作りたいものが、まだあるからだ。
外伝1 「越境」へ続く
