写真左：平野 雄大、写真右：中野 達也

アクセンチュアとマイクロソフトのジョイントベンチャーとして2000年に米国で生まれたアバナード。「戦略×テクノロジー」の支援により、これまで多くのイノベーション創出を支えてきました。

AIの普及によって、これまでのセキュリティの前提は大きく揺らぎ始めています。社内に眠るデータのうち、AIに触れさせていい情報とそうでない情報をどう見極めるか。企業が向き合うべき課題は、日に日に複雑になっています。

今回はAssociate Directorの中野達也氏と、Managerの平野雄大氏にインタビューを実施。Microsoft Purview（マイクロソフトパービュー）を用いたデータ保護の実践から、これからのセキュリティエンジニアに必要なマインドまで、実務の最前線に立つ二人に話を聞きました。

▼プロフィール

氏名：中野 達也（Tatsuya Nakano）
役職：Associate Director
職種：Client Solutions、Security Lead

 氏名：平野 雄大（Yuta Hirano）
役職：Manager
職種：Client Solutions

異なるキャリアから、セキュリティエンジニアへ。二人がたどった意外な道のり

―お二人のキャリアと、アバナードへの入社の経緯を聞かせてください。

中野： 私はもともとプログラマーとしてIT業界のキャリアをスタートしました。前職はSES企業で、社内SEとしてサーバー管理や社内システムの構築を担当していました。3年ほど勤めたころ、技術者としての自分のレベルを試したいという気持ちが芽生え、転職活動を始めることにしました。

アバナードへの入社は、面接時にレベルの高さを感じ、入社後は自分の可能性が広がるように思えたことが決め手になりました。

当時、面接を担当してくれた方は、ROIやKPIといった、当時の私にはあまり聞き慣れていないビジネスサイドの言葉を使い、ビジネスとテクノロジーの両面でとてもレベルが高いお話をしてくださったんです。自分の知らない世界がまだまだあることに驚き、ここで働きたいと感じたのを覚えています。

―平野さんはいかがですか。

平野： 私は2011年に社会人となり、前職ではサーバーインフラを担当する部署に所属していました。2年ほど勤めた後、アバナードに転職した前職の先輩から「よかったらチャレンジしてみないか」と声をかけてもらい、リファラル採用で入社しました。

―お二人ともセキュリティとは異なる領域から入社していますが、セキュリティエンジニアの役割を担うようになった経緯を聞かせてください。

中野： あるお客様のプロジェクトでID管理の仕組みを構築したことがきっかけです。当時はまだIDライフサイクル管理（入社・異動・休職・退職に応じて権限を付与し、管理する仕組み）がセキュリティとして認知されておらず、通常のアプリケーション開発として扱っていました。時代とともにIDライフサイクル管理がセキュリティにカテゴライズされ、自分の所属も変わっていった形です。明確にセキュリティエンジニアを志したというより、やっていた仕事がいつの間にかセキュリティ領域に入っていた、というのが実感に近いかもしれません。

平野： 私も同じような流れです。サーバーエンジニアとして入社し、ミドルウェアの導入を担当するうちに、業務は徐々にMicrosoft 365やMicrosoft Azureといったクラウドサービスへ軸足を移していきました。Microsoft Azureのセキュリティ設定を見直したいという依頼への対応を経て、Microsoft Sentinelの対応も任されるようになり、セキュリティへの意識が高まっていったのです。そんな折、中野さんから「最近セキュリティ結構やってるよね」と声をかけられ、新設されたセキュリティ事業部に身を置くことになりました。

―セキュリティ事業部には、お二人のように他の領域から移ってきた方が多いのでしょうか。

中野： 当初は他の仕事をしてきたけれど、世の中的にセキュリティの重要度が高まる中で、自分のこれまでの経験をベースにしながら新たにセキュリティ領域にチャレンジしよう、という人が多かったですね。セキュリティエンジニアは転職市場でも貴重な存在で、採用しようとしてもなかなか採れない職種になってきていると感じます。

AIによって変わるセキュリティの前提。鍵は「データの見極め」

―アバナードにおけるセキュリティエンジニアの役割を聞かせてください。

中野： 一般的なセキュリティエンジニアは、脆弱性診断やSOC監視、インシデント対応など、特定の機器への専門性を持つイメージが強いと思います。一方で、アバナードでは、個別製品の知識よりも、お客様のビジネス課題とリスクを結びつけて検討する力が求められます。技術力をベースに、コンサルタントとしての力も併せ持つことが求められる仕事というイメージです。

―AIが発達する今、現場ではどのような変化を感じていますか。

中野： AIが人のように振る舞う時代になったことにより、AIを前提としたガバナンスやセキュリティの仕組みを整える必要があると感じています。

具体的には、AIに触れさせていいデータとそうでないデータを正しく分類する必要が出てきています。AIは、社内の情報を人の能力をはるかに超えて探し出せるため、本来アクセスしてはならない情報まで触れてしまったり、社外に公開してはならない情報を回答や作成物に含めることもあります。こうした状況を避けるためにも、データの取り扱い方には今まで以上の注意が必要です。

―平野さんは、AIによってセキュリティの考え方がどう変わったと感じていますか。

平野： AI時代のリスクとしてまず懸念されるのが、データ漏洩です。AIを業務に活用する上で最初に向き合うべき課題であり、組織内でAIをどのように安全に利用するかという、内部統制の問題だと捉えています。

一方で、AIによって攻撃手法そのものを容易に作成できるようになったという外部リスクもあります。ただ、こちらについては、基本的なセキュリティ対策の考え方が大きく変わったわけではありません。従来からの対策を適切に講じることで、多くはカバーできると考えています。

そのため、現時点では外部からの攻撃以上に、「AIを安全に活用するためのデータ漏洩対策」が、多くの企業にとって最も重要なテーマになっていると感じています。

―データ漏洩のようなリスクに、アバナードはどう対処しているのでしょうか。

平野：Microsoft Purview（パービュー）の活用をお客様にお勧めしています。これは組織内のデータを機密情報かパブリック情報かに分類・識別し、外部共有を防ぐ機能などを備えたソリューションです。AI時代に入って意図しないデータ露出が懸念されるようになり、改めて価値が見直されています。

―Microsoft Purviewを使いこなす難しさ、アバナードの技術力が光る部分はどこにありますか。

平野： 最も難しいのは、守るべき機密情報なのか、守る必要のないパブリック情報なのかを識別することです。お客様の環境には膨大なデータが存在し、整理しきれずに苦労されているケースが少なくありません。私たちはお客様と伴走しながら、条件設定やロジックの組み立てを一緒に詰めていきます。中身はお客様ごとにフィットさせる必要があり、その一つひとつのシーンに丁寧に向き合えることこそ、アバナードの技術力が光る部分だと感じています。

―機密情報かどうかを判別していく作業は、プロジェクトのどの段階から入るのでしょうか。

平野： 機密情報や個人情報の整理は、要件定義の段階から着手するのが基本です。まず、お客様がAIを使って何を実現したいのかを整理した上で、どの情報を機密情報・個人情報として扱うのかを定義していきます。

大規模なプロジェクトでは、他の開発チームや業務チームと並行して進めるケースも多く、セキュリティ対策はプロジェクトの最初のステップから組み込まれていることがほとんどです。

製品だけを先に導入し、後からセキュリティ対策を追加しようとすると、手戻りやタイムラグが発生してしまいます。そのため、当社ではセキュリティを後付けの対策ではなく、プロジェクト全体を見据えたトータルソリューションとして設計することを重視しています。

上流から動くセキュリティエンジニア。支えるのは技術より対話の力

―普段働いていて、アバナードらしさを感じる部分はありますか。

平野： 入社したときからずっと感じているのは、風通しの良さです。私も中野さんも含めて誰もが知らないことが当然あります。こういう時、わからないことは素直に「教えてほしい」と言うと、快く教えてもらえます。知らないことを知ったかぶりするのは後で痛い目を見ますし、教え合うことでお互いにとってプラスになる環境があると思います。

―そのような環境で、成長を実感する場面はありますか。

平野：私は特に、コンサルティング力が磨かれたと思います。具体的には、お客様と同じ目線に立って会話ができること、そしてお客様が進むべき方向性を示唆できること、この二つの力です。実際にプロジェクトでお客様にご説明したときに「今までで1番わかりやすかった」といった声をいただくことがあり、そういうときにコンサルティング力が上がってきたなと感じますね。

―中野さんは、コンサルティング力に関連して、特に大事にしている視点はありますか。

中野：私が特に大事だと思うのは、「そもそも課題とは何か」を定義する視点です。お客様が今認識している課題をそのまま受け止めるのではなく、その奥にもっと本質的な課題があるのではないか、と考えてみることです。簡単なことではありませんが、そういう視点を持てる人がいると、プロジェクトにとって非常に助かります。 

こうした力を磨くために、アバナードではプロジェクトで得たノウハウや経験を共有する勉強会を定期的に開催しています。成功事例だけでなく、「なぜうまくいかなかったのか」といった失敗事例も含めて共有し、お互いの経験から学べる環境があります。

平野： 勉強会に加えて、実際の現場で学べることも多いですね。プロジェクトに入ると、SV（スーパーバイザー）を担うメンバーとコミュニケーションを取りながら、どんな課題があるかを識別し、それにどう対処するかを一緒に考えます。それをお客様にどう分かりやすく伝えるか、資料の作り方まで含めて、現場で学んできた部分が大きいです。

技術は手段でしかない。アバナードが大切にする価値観

―技術力に加えて、どのようなマインドを持つ人がセキュリティ事業部には必要だと感じますか。

中野： AIの登場で技術力は世の中的に平準化してきていると思いますし、これからもそうなっていくはずです。お客様の課題に寄り添い、パートナーとして真摯に取り組み、課題解消までやり遂げるマインドを持った人が、これから活躍できる人材だと思っています。あるべき姿や理想論を語るのは誰にでもできますが、お客様の状況や予算、組織の制約を踏まえてやり遂げるところまで伴走できる企業や人は、実は少ないと感じています。

―お客様と一緒にやり遂げる、伴走するのが得意な方には、どんな共通点がありますか。

平野： 聞き上手な人ですね。私たちから「こうあるべきだ」と語ることも当然できるのですが、それだけだとお客様の気持ちをつかめません。うまく対応できている人は、お客様の声をよく聞いていて、聞いた情報をきちんと整理し、それをお客様に当てながら、一緒にどういう方向性を見出すかという会話をしていくんです。こうして、今のベストソリューションは何かを導き出せることが、パートナーとして一緒に歩み続けられる要素だと思います。

―今後、セキュリティ事業部をどのようにしていきたいですか。

中野： 事業部を大きくしたいというより、お客様の課題を自分ごととして捉え、真摯に向き合える人をもっと増やしていきたいと思っています。技術はあくまで手段であって目的ではありません。何のための技術かを理解した上で、お客様に価値を届けることが私たちの仕事です。そうした価値観を持つ人ともっと働きたいですね。

―今のアバナードだからこそ感じる面白さはありますか。

中野：AIによるビジネス変革の先進企業であろうとしている点は、これまでとの大きな変化だと思います。AIをどう使うかという個人の話にとどまらず、それをお客様にどう届けるかに全力で取り組んでいるところに、今ならではの面白さを感じています。

―最後に、この記事を読んでくださった方へメッセージをお願いします。

平野： アバナードは、自分の強みを発揮できる場であると同時に、苦手な部分を補ってくれる人がたくさんいる職場です。キャリアアップしたい方には、ぜひ入社して経験を積んでいってほしいと思います。

中野： 18年この会社にいますが、エンジニアやコンサルタントとして、そして人間的にも尊敬できる人がたくさんいることが、長く続けている1番の理由です。変化が常にあるから飽きないというのも、続けられている要素だと思います。興味を持たれた方は、ぜひ話を聞きにきてください。