ないものは作る 第4話「慰留」
辞表は出さなかった。正確に言えば、出す前に止められた。
でも、その話をする前に、少し遡らせてほしい。辞めたいと思うまでの間に、僕はいくつかのことをしていた。後から振り返ると、全部が「ここから逃げる準備」だった。
そして皮肉なことに、逃げる準備をすればするほど、僕はこの場所に深く沈んでいった。
大場さんがまだいた頃——コロナ禍の少し前に、僕は大学に入った。
通信制の大学。セキュリティコース。働きながら通える、というのが売り文句だった。
理由は二つある。一つは、自分の知識の偏り。高校が商業科で、専門学校を出てこの業界に入った。現場で叩き上げた知識はあるが、体系的に学んだことがない。
もう一つは、この会社に縛られたくなかったからだ。専門卒だと、学歴がキャリアの天井になる。大学を出ておけば、選択肢が広がる。いざという時に、ここを出て行ける。
逃げ道を作っておきたかった。
大学の勉強は、想像以上にしんどかった。
商業科出身の僕にとって、数学が最大の壁だった。高校では数Aしかやっていない。微分も積分もやっていない。線形代数なんて言葉すら知らなかった。
暗号理論は特にきつかった。RSA暗号の仕組みを理解するには、素因数分解の計算量の話が必要で、計算量の話をするには指数関数の理解が必要で、指数関数は数Aの範囲を超えている。一つわからないと、その先が全部わからない。雪だるま式に「わからない」が積もっていく。
最初の課題を見た時、本気で辞めようかと思った。
でも、辞めなかった。辞めなかったのは、意地というよりも惰性に近い。始めたことを途中で投げ出すのが、僕は苦手なのだ。投げ出すための情熱がない。三島に誘われて試験を受けた時と同じだ。断るほどの情熱がないから、続ける。
通信制だから、授業は基本的にオンラインだ。仕事が終わった後の夜、自宅でパソコンに向かって講義を聞く。週末の午前はカフェでレポートを書く。三島と試験勉強をしていた頃と同じカフェだった。あの頃は向かいの席に三島がいた。今は一人だ。二年かけて、卒業した。
周囲からは「論理的になった」と言われた。以前の僕は、経験と直感で判断していた。「なんとなくこうだろう」で動いていた。大学で学んだのは、判断に理由をつける技術だった。「なぜそうするのか」を、論理的に、体系的に説明する方法。
逃げるために入った大学で身につけたものが、この会社の仕事に直結した。監査で不適合を指摘する時、なぜその規定が存在するのか、守らないと何が起きるのかを、論理的に説明できるようになった。現場の反発が、ほんの少しだけ和らいだ。
ほんの少しだけ。完全になくなることは、たぶん永遠にない。
逃げる準備が、ここでの仕事を上手くさせる。上手くなるほど、辞めにくくなる。この皮肉に、僕はまだ気づいていなかった。
大学を卒業した頃、ISMSの管理策のガイドラインが改版された。
通常は本体の規格が先に改版され、それに合わせてガイドラインが改版される。ところが今回は逆だった。ガイドラインだけが先に変わった。内部監査を行う際に、本体の規格は旧版のまま、管理策のガイドラインは改版済みという、ねじれた状態で運用しなければならなくなった。
こういう時、コンサルがいれば「どうしたらいいですか」と聞ける。うちにはいない。大場さんがいれば、十年の経験で判断してくれただろう。でも、大場さんはもういない。
規格の解釈が、わからなかった。
自分で読んで、自分で考えて、それでもわからない。規格の文言は読める。でも、その文言がどういう意図で書かれていて、審査の場でどう解釈されるのかがわからない。僕は「審査を受ける側」の人間だ。「審査をする側」がどこを見て、何を基準に判断するのかが、見えない。
だから、ISMS審査員補の資格を取ることにした。自費で。
審査員補というのは、外部審査機関の審査チームに加わって審査を行うための資格だ。審査を「受ける側」ではなく、「する側」になるための資格。審査する側の視点を理解すれば、この規格のねじれをどう解釈すべきか、自分で判断できるようになる。
もう一つ、正直な理由もあった。いざという時に、この資格を持って逃げるためだ。ISMS審査員の資格があれば、審査機関で働ける。コンサルタントとして独立もできる。大場さんがいなくなって規格の解釈に困っているこの会社から、逃げ出せる。
必要に迫られた動機と、逃げ出したい動機。二つが重なっていた。どちらが本当の理由かは、自分でもわからない。
資格を取った。審査する側の視点が手に入った。規格のねじれは、自分で解釈できるようになった。
大学の学位と、審査員の資格。二つの逃げ道を用意しておいて、僕はまだこの会社にいた。逃げる準備だけは万全なのに、逃げない。そして逃げ道が、ここでの仕事に役立ってしまう。
僕はこの会社にとって「替えがきかない人間」にまた一歩近づいた。規格の解釈を自分で判断できる人間が、他にいないのだから。
逃げ道が罠になる。その構造に気づいたのは、VASECの更新審査の準備をしている時だった。
文書審査までは乗り切った。だが、その準備の過程で、僕は技術的な戦いに引きずり込まれた。
ストレージの暗号化。多要素認証。ログ分析。VASECの要求事項の中で、この三つがどうにもならなかった。
最初の壁は暗号化だった。社内のファイルサーバーは、僕がインフラ時代に構築した時は暗号化されていた。ところが、僕がセキュリティに異動した後のリプレイスで、なぜか暗号化機能がなくなっていた。経緯は誰にもわからない。
大場さんがVASECの初回認証を取得した時、この点は見逃されていた。だが更新審査では、そうはいかない。
既存のファイルサーバーは使えない。新しい仕組みが必要だった。
本来はインフラ部門の仕事だ。でも、インフラに相談したら「この短期間では構築できない」と言われた。VASECの審査日程は動かせない。
だったら、自分で作るしかない。
ここで、インフラ時代の知識が出てくる。僕はもうインフラの人間ではないが、インフラの技術は手の中にある。セキュリティに異動してから何年も経っているのに、結局インフラの仕事をしている。セキュリティの資格を取り、大学で論理的思考を学び、審査員の視点を持ち——その上で、サーバーを構築している。
IT部門ではないが技術の知識を持っているメンバーを一人見つけて、二人でオンプレミス型のブラウザベースファイルサーバーの構築に取りかかった。通信も保存データも暗号化される仕組みだ。
作り始めてすぐ、一台では足りないことに気づいた。サーバーが一台だと、その一台が落ちた瞬間に全社のファイル共有が止まる。ランサムウェアの時の教訓だ。止まったら、車が作れなくなる。だから二台構成にした。
二台にすると、別の問題が出てくる。二台のサーバーの中身を常に同じ状態に保たなければならない。片方にだけファイルがある状態では、もう片方に切り替えた時にデータが欠ける。かといって、データの管理機能をどちらか一方のサーバーに寄せてしまうと、そのサーバーが落ちた時に二台ある意味がなくなる。
結局、データの管理機能だけをクラウド上の別サービスとして切り出した。どちらのサーバーが落ちても、データは雲の上で無事でいる。もう一台がそのまま引き継げる。
ベンダーが提供する標準的な冗長化機能も検討したが、検証すると特定の条件下で止まる可能性があった。審査の最中に止まりました、では洒落にならない。不採用にした。
代わりに、もう一人のメンバーがアイデアを出してくれた。サーバーが生きているかどうかを常時監視して、落ちたら自動で再起動させるプログラムだ。彼が書いて実装してくれた。教科書には載っていない、現場の知恵だった。
超短期間だった。設計、検証、構築、テスト。通常なら数ヶ月かかるプロジェクトを、二人で数週間に圧縮した。昼間はセキュリティの仕事をして、夜と週末にサーバーを構築する。インフラ時代に夜中まで残ってテストしていた頃と同じだ。あの頃は新しい建物のネットワークを作っていた。今は暗号化されたファイルサーバーを作っている。作るものは変わったが、やっていることは同じだった。
そして、一番大変だったのは構築ではなかった。データ移行だった。
既存のファイルサーバーから新しい環境へ、全社の共有データを移す。ただコピーすればいいわけではない。フォルダ構造、アクセス権限、共有設定。部署ごとにアクセス権が異なり、取引先との共有フォルダには別のルールがある。一つ間違えると、見えてはいけないデータが見えてしまう。セキュリティのための仕組みを作っているのに、移行でセキュリティ事故を起こしたら本末転倒だ。
データ移行に費やした時間は、サーバー構築そのものより長かった。
暗号化は、なんとかなった。
だが次の壁がすぐに来た。多要素認証だ。VASECは、重要な情報資産へのアクセスに多要素認証を求めている。パスワードだけではダメだ。うちの会社では、多要素認証は導入されていなかった。
ゼロから導入するのは、一人では無理だ。
ここで、社内の別の動きに目をつけた。IT部門がクラウドサービスの一環で多要素認証のサービスを導入しようとして——頓挫していた。技術の問題ではなく、社内調整が進まなかったらしい。使えるサービスの契約はあるのに、展開が止まっている。
僕は、その頓挫したサービスをセキュリティ部門で引き継ぐことにした。IT部門が展開できなかったものを、VASECの要件として名目をつけて導入する。頓挫した仕組みを拾い上げて、動かす。
三つ目はログ分析だった。セキュリティログの収集と分析。ログは取っていたが、分析する仕組みがなかった。蛇口から水が出ているのに、受ける容器がない状態だ。
僕一人では不可能だった。以前から付き合いのある大手ベンダーに相談し、セキュリティ分析サービスの導入を進めた。ただし、サービスを入れるだけでは意味がない。運用する人間が必要だ。
IT部門以外で、ITの知見を持つ人間を社内から探して集めた。正式な組織ではない。有志のようなチームだ。ベンダーが提供するトレーニングプログラムを受けてもらい、ログ分析のスキルを身につけてもらった。
暗号化、多要素認証、ログ分析。三つとも、正規のやり方ではなかった。インフラの仕事を自分で引き取り、頓挫したプロジェクトを拾い上げ、ベンダーの力を借りて有志チームを作った。泥縄だ。でも、泥縄でも縄は縄だ。
VASEC審査は、その縄で乗り切った。
そして僕は、もう一段深く沈んだ。
暗号化のサーバーを作れるのは僕しかいない。多要素認証の仕組みを理解しているのも僕だけだ。ログ分析のチームを束ねているのも僕だ。逃げ道を作ったはずが、ここでしか使えない知識と経験が増えていく。辞めたら、この全部が止まる。
大学の学位、審査員資格、インフラの技術、セキュリティの実務、VASEC対応の実績——積み上げたものが全部、僕をこの椅子に縛りつけている。
限界は、事故という形でやってきた。
年末。十二月の最終週。ほとんどの社員が年末年始の休暇に入っていた。管理棟二階は閑散としていて、僕のキーボードを叩く音だけが響いていた。
海外拠点のスタッフが持っていたパソコンが盗まれた。中には、取引先のクレジットカード情報が入っていた。
海外拠点はISO認証の適用範囲外だった。VASECの更新審査で暗号化の仕組みを必死で作った、あの苦労が頭をよぎった。国内拠点は対応した。でも海外は範囲外だ。僕の手が届かない場所で、事故が起きた。
個人情報保護委員会への報告が必要だった。報告期限は暦日で数える。年末年始の休暇は関係ない。カレンダーは止まらない。年始休暇明けでは、間に合わない可能性があった。
法務部門に連絡を取ろうとした。年末休暇に入っている。繋がらない。栗原さんに連絡した。「柏木さんに任せる」。いつものことだ。
経営層の一人と連絡が取れた。法務部門不在のまま報告書を作成して提出する承認をもらった。
一人で報告書を作成した。事実関係の整理、漏洩の範囲の推定、暫定的な再発防止策の策定。本来なら法務部門と連携して作る書類を、セキュリティの人間が一人で書いている。年末の、誰もいないオフィスで。提出した。
年始、出社してきた法務部門に事後報告した。「もう提出しました」。法務の担当者は少し呆れた顔をしていたが、期限に間に合わせたことについては何も言わなかった。
仕組みの外で事故が起き、仕組みの中にいる人間が一人で対処する。VASECの暗号化サーバーを一人で構築したのと同じ構図だ。本来一人でやることではないものを、一人でやっている。
年末年始のオフィスで、僕は初めてはっきりと思った。虚しい、と。
そして数ヶ月後、今度は日向工場だった。
一斉メールのBCCをCCに入れて送信。手順に定められた方法ではなく、現場が勝手にやった結果だった。
「手順書はあったんですか」
「ありました」
「読みましたか」
「……読んだつもりだったんですが」
つもり。つもりで個人情報が漏れる。
クライアントが個人情報保護委員会に報告する事態に発展した。
僕は北条から日向に飛んだ。緊急監査だ。ランサムウェアの発信元も日向。クラウド移行で手順を守らなかったのも日向。何度目だ。
監査は容赦なくやった。メール送信のフローを一から確認し、教育記録を確認し、手順書を確認した。手順があっても、守られない。教育しても、理解されない。仕組みはある。人が、仕組みの通りに動かないのだ。
帰りの電車の中で、スマートフォンを取り出した。転職サイトを開いた。
暗号化サーバーを一人で作った。年末に一人で個情委報告書を書いた。日向に何度も飛んだ。逃げ道を作りながら、逃げるどころかどんどん深くはまっている。もう、限界だった。
転職サイトでいくつかの会社に応募した。
ある会社の求人が目に留まった。
「ないものは作る」
あの言葉だった。入社前の転職活動で見た、あの会社。面接の待合室で額縁に入っていた、あの五文字。何年も前のことなのに、あの言葉だけは覚えていた。
その会社が、また採用をしていた。僕はもう一度、応募した。
面接は、手応えがあった。前回よりも、ずっと。ISMSを回し、VASECを維持し、ランサムウェアを捌き、暗号化サーバーを構築し、全社の監査を一人でやってきた。あの頃の僕にはなかった実績がある。
結果は——不採用だった。二度目の不採用。理由は、やはり書かれていなかった。
逃げ道を作っても、逃げられない。行きたい場所には行けない。行けない場所の言葉だけが、僕の中に残っている。
転職活動と並行して、僕は栗原さんに電話した。
「辞めます」
「辞めるって、会社を？」
「はい」
栗原さんの声のトーンが変わった。自由人で、普段は何事にも動じないこの人が、明らかに慌てていた。
「柏木が抜けたら、VASECの更新審査が回らない。ISMSの運用も止まる」
「知ってます」
「知ってて言ってるのか」
「知ってるから言ってるんです」
知っている。誰よりも知っている。僕が抜けたら、暗号化サーバーを保守できる人間がいなくなる。多要素認証の仕組みを理解している人間もいなくなる。ログ分析のチームを束ねる人間もいなくなる。ISMSの文書体系を頭に入れている人間もいなくなる。全部、僕が一人で抱えているから。だから言ったのだ。
沈黙が三秒ほどあった。「少し待ってくれ。上と話す」
慰留の面談は、北条工場の会議室で行われた。栗原さんはさすがにこの時は北条に来た。人事部門の担当者も同席していた。
「柏木さんに辞められると、情報セキュリティの運用が止まる。お願いだから残ってほしい」
僕は知っていた。この構図を。替えがきかないから辞められない。辞められないから替えを作る努力をしない。努力しないからますます替えがきかなくなる。だから、切り札を切った。
「残ります。ただし、条件があります」
「条件？」
「言いたいことを、言わせてください。セキュリティに関して必要なことは、相手が誰であっても、はっきり言う。それを認めてもらえるなら、残ります」
栗原さんは少し笑った。
「柏木、今までも十分言ってると思うけど」
「公式に認めてもらいたいんです。『あいつはうるさい』じゃなくて、『あいつの仕事はうるさく言うことだ』と」
交渉は成立した。僕は辞めなかった。
逃げ道を二つ作って、転職活動もして、辞意も表明して、それでも僕はここにいる。「ないものは作る」という言葉を掲げた会社に二度も落ちた人間が、「ないものは作る」を掲げていない会社で、ないものを作り続けている。
発言権を手にしてから、僕は変わった。
栗原さんに対しても、遠慮しなくなった。「栗原さん、この件は栗原さんの判断が必要です。『任せる』では済まないです」。各部門に対しても、オブラートを剥がした。やっていないことはやっていないと言った。下駄を履かせた大場さんのクライアント対応がどうなったか、僕は知っている。嘘は、いつかバレる。
もちろん、包むべきところは包んだ。指摘の後には必ず「じゃあどうすればいいか」を具体的に伝えた。問題を指摘するだけなら誰でもできる。解決策を示すのが、僕の仕事だ。
採用面接にも少し絡むようになった。面接で候補者の話を聞きながら、いつも同じことを考えた。この人は、正しいことを言い続ける仕事に耐えられるだろうか。そんな基準で人を見ている自分に気づいて、少し笑った。
宮野がいた頃は、僕の正論を現場の言葉に翻訳してくれた。今は宮野もいない。僕の正しさは、むき出しのまま、現場にぶつかっている。
嫌われる。わかっている。でも、嫌われることが仕事なら、嫌われよう。
発言権を手にして一年ほど経った秋、藤原部長から声がかかった。
DCoE——Digital Center of Excellenceの中に、サイバーセキュリティの機能を持たせたい。その責任者として入ってほしい、と。
藤原部長が僕に声をかけた理由は、後から聞いた。セキュリティ分野の国家資格に士業登録をしていること。ISMS審査員補の資格を持っていること。
逃げ道として作った資格が、また、ここで使われた。今度は「外部との接点を持てる人材」として。国家資格の士業として外部のコミュニティに繋がれること。審査員補として審査機関側の視点を持っていること。
逃げるために作ったものが入口になり、逃げるために学んだことが武器になり、逃げるために取った資格が理由で呼ばれる。
もう笑うしかなかった。
断らなかった。VASEC更新で暗号化も多要素認証もログ分析も、一人で場当たり的にやった。あの経験が、僕の中に確信を植えていた。この会社にはセキュリティの専門機能が足りない。DCoEの中にセキュリティの機能を持たせるという構想は、僕が感じていた課題への回答だった。
それに——新しい領域は、面白かった。サイバーセキュリティは、もう少し技術寄りの世界だ。インフラ時代に近い、手を動かす仕事がある。ISMSのマンネリに疲れていた僕の体が、動いた。大場さんがコロナ対応やVASEC取得で復活したように。
一ヶ月でサイバーセキュリティポリシーを書き上げた。コンサルは入れない。もちろんだ。
ただし、DCoEでの僕の仕事は、自分で手を動かすことではなかった。
サイバー攻撃に対する自社の弱点を見つける作業——脆弱性診断と呼ばれる——の準備を、ベンダー企業の協力で始めた。いきなり本番の診断をやるのではなく、まずシミュレーションで自分たちの力量を確認する。結果を見ながら、チームの課題を洗い出していく。ここが足りない、あの知識が欠けている、この手順では見逃しが出る。技術的な指摘はできた。でも、それだけでは組織は動かない。
業務チームを動かすには、技術の話だけでは足りないことに気づいた。「ここに弱点があります」と言っても、現場は動かない。「この弱点を放置すると、クライアントとの契約に抵触し、取引停止のリスクがあります」と言えば、動く。ビジネスの言葉に翻訳する必要がある。
大学で学んだ論理的思考。監査で鍛えた説明力。宮野が教えてくれた「現場の言葉に落とし込む」技術。全部が、ここで必要だった。
標的型攻撃訓練では、社員に擬似的な攻撃メールを送った。引っかかる人間はいた。日向工場は相変わらずだった。訓練の結果を分析し、部門ごとの傾向を整理し、教育計画に反映する。やっていることは監査と同じだ。乖離を見つけて、埋める。
もう一つ、僕がやったことがある。人を集めた。
VASEC更新の時にログ分析のために有志を集めたのと同じだ。だが今回はもう少し本格的にやった。セキュリティの知見を持つ人材を、社内外から探した。
地元に一人、良い人材がいた。北条市から車で一時間ほどの内陸の街に住んでいる人で、ITセキュリティの実務経験があった。面識はなかったが、地元のIT関連のコミュニティで名前を聞いたことがあった。
声をかけた。うちの会社でセキュリティの仕事をしないか、と。
ヘッドハンティングと言えば聞こえはいいが、地方の自動車部品工場のセキュリティ部門が人材を引き抜くというのは、なかなか珍しい光景だと思う。条件面で大手には勝てない。でも、「一人でセキュリティを回している会社で、一緒に仕組みを作らないか」という誘い文句には、ある種の人間にとっての魅力があるらしい。来てくれた。今はIT関連のインシデント対応と診断、それに事務的な業務を担ってくれている。一人ではなくなった。正確に言えば、セキュリティ部門としては僕と栗原さんだけだが、DCoEの中にセキュリティの仕事を一緒にやれる人間がいる。
人を集めて、育てて、一緒に仕組みを作る。ISMSを一人で回していた頃には考えもしなかった仕事だ。大場さんは一人で作った。僕も一人で引き継いだ。でも、一人では限界がある。それはVASECの時に思い知った。
だから、人を集めた。組織がなくても、人がいれば動く。
藤原部長との距離が近くなった。技術に詳しく、視野が広く、決断が速い。栗原さんとは対照的だった。栗原さんはどこにいるかわからない自由人だが、藤原部長はいつも現場にいた。
「柏木さん、一緒に東南アジアに行かないか」
認証システムの開発プロジェクトに、サイバーセキュリティの責任者として同行してほしい、と。正直に言えば、なぜ僕がこの出張に必要なのか、よくわからなかった。でも藤原部長が「行こう」と言うなら、何か考えがあるのだろう。
空港で合流した時、藤原部長が言った。「柏木さん、パスポート持ってる？」「持ってますよ。さすがに」「いや、持ってなさそうな顔してるから」
現地に着いた翌日、開発会社を訪問した。若いエンジニアが大勢いて、活気があった。北条工場の管理棟とは空気が違う。認証システムのセキュリティ要件を確認し、設計段階からセキュリティの観点をインプットした。
打ち合わせの後、藤原部長が言った。「柏木さん、やっぱり現場で話すと説得力が違うな。規格の文言を現場の文脈に落とし込める人って少ないんだよ」
大学で身につけた論理的な説明力。逃げるために学んだ技術が、ここでも効いている。
そして、出張は予想外の展開を迎えた。
台風が直撃した。
現地の道路が冠水し、開発会社への移動ができなくなった。ホテルから一歩も出られない。出張の日程が丸一日、潰れた。
仕方なく、ホテルの部屋からオンライン会議をすることになった。全員が同じ都市にいるのに、全員がホテルの部屋からオンラインで繋がっている。何のためにここまで来たのか。
だが、藤原部長はその一日を無駄にしなかった。
「柏木さん、今日、社長と話せる時間が取れた。例の話、やろう」
例の話——DCoEからサイバーセキュリティの機能を分離し、独立した専門組織を作る構想だ。藤原部長は渡航前からストーリーを練っていた。プレゼン資料も用意していた。この出張の本当の目的は、これだったのかもしれない。
「SCoE」——Security Center of Excellence。サイバーセキュリティのポリシー策定、訓練、診断、インシデント対応、人材育成。それに加えて「AICoE」——AIの開発と活用も同一組織に持たせる。セキュリティとAIの両方を束ねる総合拠点。その責任者に、柏木陽介を据える。
藤原部長がストーリーを説明し、僕が技術的な裏付けを補足する。台風で足止めされたホテルの部屋で、社長にオンラインで直談判した。
僕は胸が高鳴っていた。自分の組織を持てる。VASEC更新の時に泥縄で集めた有志チームを、正式な組織にできる。暗号化サーバーを二人で作ったあのメンバーも、ログ分析のチームも、正式なメンバーとして迎えられる。一人で全部を抱える孤独から解放される。
AICoEを含むということは、AI開発も正式な業務になる。プライベートでやっていた個人開発のスキルが、会社の仕事になる。
「ないものは作る」。あの言葉が、頭の中で響いた。
社長の返答は、数時間後に来た。
同じ日の、午後だった。台風はまだ去っていなかった。ホテルの窓の外では雨が降り続けている。
藤原部長のスマートフォンが鳴った。藤原部長が電話に出て、数分間、ほとんど「はい」「はい」だけを繰り返して、電話を切った。
僕を見た。表情で、わかった。
「見送りだ」
「理由は？」
「……柏木さんは、社内での評判がよくない。まずそこを見直せ、と」
評判。矢萩工場で五十件の不適合を出した。日向工場に緊急監査に行った。全社に正しいことを言い続けた。全部、正しいから、やった。その正しさが、「評判のよくなさ」になっていた。
朝に直談判して、午後に却下された。台風で足止めされたホテルの部屋で、行き場のない時間を過ごした。窓の外の雨を見ながら、僕は何も言えなかった。藤原部長も黙っていた。
梯子を外された。藤原部長が架けてくれた梯子を、社長が外した。同じ日のうちに。
デスクの上に、マグカップがある。宮野がくれたマグカップ。中身のコーヒーは、とっくに冷めていた。
宮野がいたら、どう言っただろう。「柏木さん、それは理不尽ですよ」と言ってくれただろうか。「でも、柏木さんのやり方にも問題があるんじゃないですか」と言っただろうか。たぶん、両方言ったと思う。
でも、宮野はもういない。
翌朝、藤原部長からメールが来ていた。
「SCoEの件は見送りになったけど、やれることをやっていこう」
「やれること」は、二つあった。
一つは補助金だ。サイバーセキュリティ人材の育成に使える国の補助金がある。会社の懐を痛めずに、やるべきことをやれる。評判をこれ以上悪くしない工夫だ。申請書を書き、関係機関を回った。北条から東北の別の県へ、東京へ、また別の地方都市へ。地方工場の管理部門にいる人間の出張にしては、行動範囲が広すぎる。でも、誰もやらないなら自分がやるしかない。
もう一つは、資格だった。
SCoEにはAICoEの機能も含まれる計画だった。セキュリティだけでなく、AIの開発と活用も統合する。だから僕は、AIの資格を取ることにした。
梯子は外された。SCoEは潰された。AICoEも、もちろん存在しない。存在しない組織のために資格を取る。客観的に見れば、無意味だ。
でも、僕は取り続けた。
クラウドの認定資格。AIの認定資格。複数のベンダー資格を、短期間で取得していった。
脆弱性診断の資格も取った。DCoEで診断のシミュレーションを指導していた延長だ。講座を受けたのは半年以上前で、試験のチケットの有効期限がぎりぎりだった。勉強を始めたのは前日の夜からだ。対策らしい対策はしていない。
でも、受かった。
試験の問題を見て、既視感があった。三島に誘われて受けた、あのセキュリティスペシャリストの試験と同じだ。問題文に書かれていることが、全部、自分がやってきたことだった。DCoEで診断のシミュレーションを見てきた経験、AIでWebアプリケーションを開発してきた経験。セキュリティ上の設定や脆弱性の仕組みは、開発する側として日常的に触れていた。教科書で学ぶ前に、現場で身につけていた。
付き合いで受けた試験に、経験だけで受かる。あの時と同じパターンだ。変わっていないのか、成長していないのか。たぶん、どちらでもない。現場で手を動かし続けている人間は、試験に強い。それだけのことだ。
周囲からは不思議に見えただろう。組織もないのに、何のために資格を取っているのか。業務命令でもない。自費でもないが、勉強する時間は自分の時間だ。夜と週末を使って、また勉強している。大学の時と同じだ。カフェでテキストを開いている。
SCoEが作られていたら、これらの資格は組織の武器になるはずだった。組織がなくなっても、スキルは残る。スキルが残れば、いつか使う時が来る。
逃げ道として取った大学の学位と審査員資格は、この会社で使われた。組織のために取ったAIの資格は、組織が消えても僕の手の中にある。
どちらも、取った理由とは違う形で、いつか役に立つ。そういう予感があった。予感というより、もう確信に近かった。
宮野とは、たまに飲みに行く。新しい生活を楽しそうに話す宮野を見ながら、僕はぬるいビールを飲んでいる。
「柏木さん、まだ辞めないんですか」
「辞められないんだよ」
「知ってます」
宮野は笑った。僕も、少しだけ笑った。
辞められない人間と、辞められた人間が、たまに飲みに行く。それだけの関係だ。でも、その「それだけ」が、案外、僕を支えている。
腹の底に、何かが溜まり始めていた。怒りとも違う。悲しみとも違う。もっと静かで、もっと確かなもの。
逃げる準備をするたびに、逃げられなくなった。大学の学位も、審査員の資格も、インフラの技術も、全部この場所で使い尽くした。逃げ道が塞がれたのではない。逃げ道が、この場所への道に変わっていた。
組織をもらえないなら、組織がなくてもできることをやる。VASECの時、僕はすでにそれをやっていた。泥縄だったが、機能した。あれを、もっと大きな規模でやればいい。
ないなら、作ればいい。
まだ、その言葉にはなっていなかった。でも、感覚として、それは始まっていた。
大場さんが言った。「仕組みは残る」。
残る仕組みを、作る。認められなくても、作る。
腹の底に溜まったものが、少しずつ形を取り始めていた。
（第5話「作る」に続く）
