セキュリティ対策で現場が止まる理由——「安全」と「スピード」を対立させない判断構造

セキュリティの話をしているのに、なぜか話が噛み合わない。

経営は「事業を止めるな」と言う。

セキュリティは「リスクを残すな」と言う。

現場は「このままでは仕事にならない」と言う。

ITは「技術的にはこうするしかない」と言う。

困ったことに、全員が間違っているわけではない。

むしろ、全員がそれぞれの立場から正しい。

それでも、仕事は止まる。

この記事はこんな人へ

この記事は、セキュリティ対策と現場のスピードを両立させたい人のための記事である。

特に、次のような違和感がある人へ。

• セキュリティ上の「正しさ」は理解できるのに、現場では仕事が進まない

• 経営・セキュリティ・IT・現場の意見を聞いても、優先順位が決まらない

• 「安全を優先するか、スピードを優先するか」という二択そのものに違和感がある

プロローグ

正直に言う。

セキュリティ対策の議論で、一番疲れるのは「誰が正しいのか」という話になってしまうことである。

セキュリティ担当にも理由がある。

現場にも事情がある。

ITにも技術的な制約がある。

経営にも守るべき事業がある。

それぞれの立場だけを見れば、筋が通っている。

それでも、全体としては前に進まない。

ここで見るべきなのは、人ではない。

「何を優先して判断するのか」が、最初から設計されているかどうかである。

第一章 セキュリティが現場を止めているように見えるとき

セキュリティが現場を止めている。

そう見える場面は確かにある。

アクセス制限が厳しくなった。

新しいツールが使えない。

承認に時間がかかる。

端末の制約で作業が増えた。

セキュリティ対策を強化するほど、現場の手間が増えることはある。

しかし、構造を見ると、別の問題が隠れていることがある。

それは、

「何を優先して判断するのか」が、最初から設計されていないことだ。

例えば、

「安全だから、この方法にする」

だけでは判断にならない。

その方法によって、業務への影響はどの程度なのか。

いつまでに対応する必要があるのか。

誰が最終判断するのか。

代替策はあるのか。

ここが決まっていなければ、会議を何回やっても結論が出にくい。

第二章 全員正しいのに、なぜ話が噛み合わないのか

経営と現場では、見ている時間軸が違う。

経営は事業全体を見る。

現場は今日の仕事を見る。

セキュリティは将来起こり得るリスクを見る。

ITはシステムの制約や実現方法を見る。

つまり、同じ問題を見ているようで、実は別々の目的から判断している。

例えば、あるセキュリティ対策について、

経営は、

「事業への影響はないのか」

と考える。

セキュリティは、

「リスクを許容してよいのか」

と考える。

現場は、

「この方法では業務が回らない」

と考える。

ITは、

「この制約の中では、この方式しか実現できない」

と考える。

どれも間違っていない。

だからこそ、「誰が正しいか」で決着させようとすると、議論が終わらない。

必要なのは、正しさの勝負ではない。

判断するための構造を揃えることである。

第三章 優先順位を決める3つの軸

私は、こういう場面では少なくとも3つの軸に分けて考える。

1. 影響度

その問題を放置した場合、何が起きるのか。

情報漏えいなのか。

業務停止なのか。

顧客への影響なのか。

法令・契約への影響なのか。

社内業務への影響なのか。

「危険だから対応する」だけでは、優先順位にならない。

何に、どの程度の影響が出るのか。

ここまで分解する必要がある。

影響が大きい問題と、影響が限定的な問題を、同じ速度で処理する必要はない。

2. 緊急度

次に見るのが緊急度である。

それは「今すぐ」対応しなければならない問題なのか。

影響が大きくても、数時間、数日、数週間の猶予がある場合がある。

逆に、影響そのものは限定的でも、今この瞬間に判断しなければ業務が止まることもある。

ここで大切なのは、

影響度と緊急度は同じではない。

ということである。

「重大だから今すぐ」と一括りにするのではなく、

「重大だが、対応までにどの程度の時間があるのか」

を見る。

これだけでも議論の粒度は変わる。

3. 人間が介入する条件

そして、意外と抜け落ちるのがここである。

どこから先を、人間が判断するのか。

すべてを自動で止めるのか。

担当者が確認するのか。

管理者が承認するのか。

経営判断まで上げるのか。

安全性を高めるほど、すべてを人間の承認にすればよいわけではない。

人間の判断にもコストがあるからだ。

承認を増やせば安全になるとは限らない。

承認が増えれば、その分だけ時間もかかる。

だから、

「何を自動化し、どこで人間が判断するのか」

をあらかじめ決めておく。

ここが、セキュリティと現場のスピードを両立するうえで重要になる。

第四章 「安全」と「スピード」を対立させない

セキュリティと現場を対立させると、

「安全を取るのか、スピードを取るのか」

という二択になってしまう。

しかし、本当に必要なのは二択ではない。

どのリスクに、どの速度で、誰が判断するのか。

ここまで決めればよい。

例えば、

重大なリスクなら、より厳格な判断をする。

緊急性が高ければ、判断経路を短くする。

影響が限定的なら、現場で判断できる範囲を広げる。

人間が判断することで時間がかかるなら、一定条件では自動化する。

こう考えると、

「安全か、スピードか」

ではなく、

「どのリスクに、どの対応速度を割り当てるか」

という設計問題に変わる。

これは大きな違いである。

第五章 セキュリティ担当と現場を対立させない

セキュリティ担当が厳しい。

現場がルールを守らない。

こうした言い方は、とても分かりやすい。

しかし、分かりやすいからこそ危険でもある。

セキュリティ担当には、守るべきものがある。

現場には、止められない仕事がある。

ITには、技術的な制約がある。

経営には、事業としての責任がある。

それぞれの立場には、それぞれの制約がある。

だから、個人同士を向かい合わせるのではなく、

「この判断を、どの条件なら誰ができるのか」

という構造に変える。

例えば、

「セキュリティ部門が許可するか」

ではなく、

「この条件を満たす場合、現場判断で進められるか」

と考える。

すると、議論の中心が人から条件へ移る。

人を説得するより、判断条件を設計する。

このほうが、再現性が高い。

第六章 判断できない組織では、結局「偉い人」に集中する

判断基準が決まっていない組織では、最後に何が起きるか。

「これは誰に聞けばいい？」

となる。

担当者では判断できない。

管理者も判断できない。

結局、上位者に上げる。

すると、経営や責任者に判断が集中する。

本来なら現場で数分で判断できることまで、上に上がってくる。

そこでさらに、

「なぜこんなことまで上げてくるのか」

という話になる。

しかし、原因は担当者の判断力不足とは限らない。

判断基準がないから、判断できないのである。

これはセキュリティに限らない。

組織では、

「誰が判断するか」

だけでなく、

「どの条件なら、その人が判断できるか」

まで設計する必要がある。

第七章 良いセキュリティは、現場を止めない

セキュリティ対策というと、「何を禁止するか」に目が向きやすい。

しかし、本当に必要なのは、禁止することだけではない。

安全な状態で、どう仕事を進められるかを設計することである。

使ってはいけないツールを決める。

それだけではなく、

代わりに何を使えばいいのか。

例外はどの条件で認められるのか。

誰に相談すればよいのか。

どの程度の時間で判断されるのか。

ここまで決まって、初めて現場は動ける。

つまり、

セキュリティは「止める仕組み」だけではなく、「安全に進める仕組み」でもある。

この視点を持つと、セキュリティと現場は対立する関係ではなくなる。

エピローグ

セキュリティを弱めれば、現場は速くなる。

現場を止めれば、安全になる。

そんな単純な話ではない。

必要なのは、

何を守るのか。

何を急ぐのか。

どこから人間が判断するのか。

この3つを、組織として決めておくことである。

セキュリティ担当者が正しい。

現場が正しい。

ITが正しい。

経営が正しい。

そんな「正しい人」を探す必要はない。

必要なのは、

「正しく判断できる構造」をつくること。

判断の構造が整えば、対立していた人たちが、同じ方向を向けるようになる。

人を変える前に、判断の仕組みを見る。

人を責めるより、構造を見る。

問題は、人ではない。

構造が、人をそう動かしている。

優しいまま、壊れない。

関連記事

▼ 現場の思考・コミュニケーションをさらに深めたい方へ

[PMの心得——20年が教えてくれた、知識体系では学べないこと]

https://note.com/quiet_emu2080/n/n2b23c914ea67

[不毛な調整をスコープアウトする、現場の調停プロトコル]

https://note.com/quiet_emu2080/n/n3a49f518e1d2

[役職で仕事をすると失敗する理由——その働き方、市場価値を下げています]

https://note.com/quiet_emu2080/n/nff1b906accea

構造学。──人を責めず、構造を見る。

問題は、人ではない。構造が、人をそう動かしている。