「他社はどうしてる？」という悪癖

こんにちは！記事を開いていただきありがとうございます！

今日は、お仕事をしている時に「他社ってどうなの？」という質問に、めっちゃ困ってます…という話をしたいと思います。

「他の会社さんって、どれくらいやってるんですか？」

「業界標準としては、どのあたりが妥当なんでしょうか？」

私はセキュリティコンサルタントをしているのですが、顧客と打ち合わせをする際によくこの質問を受けます。

なぜ「他社基準」に頼りたがるのか

まず、なぜ私たちはこんなにも他社の動向を気にするのか、ということをまずは話したいと思います。

安心感を求めている

セキュリティには明確な正解がないからこそ、「みんなと同じなら間違いない」という心理的な安心感を求めがちです。

責任を取りたくない、失敗したくない、という気持ちの表れでもあるのかなと思っています。

説得材料として使いやすい

「他社も導入しています」「業界のスタンダードです」という説明は、経営層に非常に響きやすいと思います。
これは、心理学でいう「社会的証明（Social Proof）」と呼ばれる効果で、人は不確実な状況で、他人の行動を手がかりに意思決定する傾向があります。

自分で判断するのが怖い

セキュリティ対策は、「やっても何も起きなければ成果が見えない」「やらなかったら何か起きたときに責められる」といった、非常に見えづらく、責任の重い分野です。

だからこそ、他社という外部の基準にすがりたくなるのだと思います。

でも、それって本当に意味があるの？

私はこの他社基準の考え方を頭ごなしに否定するつもりはありません。

でも、こういった「横並び志向」が強くなりすぎると、こんな落とし穴にハマることがあります。

たとえば、次のようなケースをよく見かけます。

自社の実態に合わない製品を導入

「業界で実績がある」という理由で選んだツールが、自社の業務フローや技術環境に全く合わない。結果的に形だけの導入になってしまう。

本当に守るべきものに手が回らない

業界標準の対策に予算を使い切って、自社固有の重要データやシステムの保護が後回しになる。

行動が伴わない形だけ対策

「やっている風」の研修や規程はあるけど、現場の行動は何も変わっていない。セキュリティのE-Learningをやって終わりとか、私は意味無いと思っています。

他社事例は参考程度

誤解のないように言うと、他社事例を参考にするのは悪いことではありません。大切なのは使い方です。

良い使い方の例

• 判断材料のひとつとして参考にする

• 自社との違いを踏まえて応用を検討する

• 「なぜその会社がその対策を選んだのか」背景まで理解する

危険な使い方の例

• 「他社がやってるなら、うちもやろう」で思考停止

• 「導入実績のある製品だから安心」で選択

• 自社の事情を考えずにそのまま真似

私が「他社はどうですか？」と聞かれたとき

私も顧客との会話の中で「他社はどうしていますか？」と質問を受けることがよくあります。

私はこの質問に対し、すぐに答えないようにしています。

なぜなら、

• 相談を受けている企業と、例として挙げる企業とでは規模や体制や予算や背景が違いすぎることが多い

• 相談元の内部事情を深く知らないと、他社事例が的外れになることがある

という理由があるからです。

極端な話を例に出しますが、従業員100人の会社に、従業員1万人の取り組みを紹介しても「それは無理ですよね」と言われる、みたいな感じです。

だから私は、「他社はこうです」と答える前に、相手の話をじっくり聞くようにしています。

何を守りたいのか。どこに困っているのか。制約は何か。

そのうえで、「この状況なら、こういう考え方の順序が良さそうですね」と、事例よりも私の考えを伝えるようにしています。

セキュリティに必要なのは「自社に引きつけて考える力」

セキュリティの本質は「他社と同じことをやること」ではありません。
自社の事業や資産を、どんなリスクからどう守るかを考えることです。

だからこそ、こんな問いを持つことが大事です。

• うちの事業にとって、何が一番大事か？

• どんなリスクがどこに潜んでいるか？

• 今の体制・予算・スキルで何ができるか？

つまり、他社を見て終わるのではなく、自社に引きつけて考える力。

自社なりの「軸」を持とう

横並びの平均点を狙っても組織は守れません。

ですが、「考え抜いた先の選択」なら、たとえ他社と違っていても、それは立派な投資になると考えています。

• 「これは、うちの事業にとって重要だからやる」

• 「これは、うちには不要だからやらない」

• 「今はこれが限界。でも次はここを改善する」

こんな風に、「自社なりの判断軸」で動いている企業こそが、本当に攻撃に強い組織になっていくのではないかと、私は考えています。

おわりに

「他社がどうしてるか？」じゃなく、「うちはどうするか？」を考えることが重要という話をしました。

大切なのは、他人の判断や考えに依存するのではなく、自分たちで考え、選択し、その結果から学んでいくこと。

そのプロセスこそが、企業のセキュリティを向上させる力になると私は思います。

最後まで読んでいただきありがとうございました！

それではまた！

▶︎ 他の記事もぜひ読んでみてください！