セキュリティ対策で現場が止まる理由——経営・IT・現場の「正しさ」が衝突するとき

セキュリティの話をしているのに、なぜか話が噛み合わない。

経営は「事業を止めるな」と言う。
セキュリティは「リスクを残すな」と言う。
現場は「このままでは仕事にならない」と言う。
ITは「技術的にはこうするしかない」と言う。

困ったことに、全員が間違っているわけではない。

むしろ、全員がそれぞれの立場から正しい。

それでも、仕事は止まる。

この記事はこんな人へ

この記事は、セキュリティ対策と現場のスピードを両立させたい人のための記事である。

特に、次のような違和感がある人へ。

• セキュリティ上の「正しさ」は理解できるのに、現場では仕事が進まない

• 経営・セキュリティ・IT・現場の意見を聞いても、優先順位が決まらない

• 「安全を優先するか、スピードを優先するか」という二択そのものに違和感がある

セキュリティが現場を止めるのではない

ここは、少し言い方を変えたほうがよい。

セキュリティが現場を止めている。

そう見える場面は確かにある。

しかし、構造を見ると、別の問題が隠れていることがある。

それは、

「何を優先して判断するのか」が、最初から設計されていないことだ。

全員正しいのに、なぜ話が噛み合わないのか

経営と現場では、見ている時間軸が違う。

セキュリティと事業では、許容するリスクが違う。

ITと現場では、問題を切り取る単位が違う。

つまり、同じ問題を見ているようで、実は別々の目的関数で判断している。

ここを「誰が正しいか」で決着させようとすると、議論は終わらない。

必要なのは、正しさの勝負ではない。

判断するための構造を揃えることである。

優先順位を決める3つの軸

私は、こういう場面では少なくとも3つの軸に分けて考える。

1. 影響度

その問題を放置した場合、何が起きるのか。

情報漏えいなのか。
業務停止なのか。
顧客への影響なのか。
法令・契約への影響なのか。

「危険だから対応する」だけでは、優先順位にならない。

何に、どの程度の影響が出るのかを分解する必要がある。

2. 緊急度

それは「今すぐ」対応しなければならない問題なのか。

影響が大きくても、数時間、数日、数週間の猶予がある場合がある。

逆に、影響そのものは限定的でも、今この瞬間に判断しなければ業務が止まることもある。

影響度と緊急度は、同じではない。

3. 人間が介入する条件

そして、意外と抜け落ちるのがここである。

どこから先を、人間が判断するのか。

自動で止めるのか。
担当者が確認するのか。
管理者が承認するのか。
経営判断まで上げるのか。

安全性を高めるほど、すべてを人間の承認にすればよいわけではない。

人間の判断にもコストがあるからだ。

「安全」と「スピード」を対立させない

セキュリティと現場を対立させると、

「安全を取るのか、スピードを取るのか」

という二択になってしまう。

しかし、本当に必要なのは二択ではない。

どのリスクに、どの速度で、誰が判断するのか。

ここまで決めればよい。

問題は、人ではない。判断構造である

セキュリティ担当者が厳しいからでもない。

現場がルールを守らないからでもない。

経営がセキュリティを理解していないからでもない。

もちろん、個別にはそういうケースもある。

ただ、構造として見るなら、

「それぞれが正しい判断をしているのに、全体として最適化されていない」

という状態を疑ったほうがよい。

人を変える前に、判断の構造を変える。

これは、セキュリティに限った話ではない。

最後に

セキュリティを弱めれば、現場は速くなる。

現場を止めれば、安全になる。

そんな単純な話ではない。

必要なのは、

何を守るのか。
何を急ぐのか。
どこから人間が判断するのか。

この3つを、組織として決めておくことである。

「正しい人」を探すのではない。

「正しく判断できる構造」をつくる。

人を責めるより、構造を見る。

優しいまま、壊れない。

関連記事

▼ 現場の思考・コミュニケーションをさらに深めたい方へ

[実在する記事タイトル1]

[公開前に実在URLを確認]

[実在する記事タイトル2]

[公開前に実在URLを確認]

[実在する記事タイトル3]

[公開前に実在URLを確認]

構造学。──人を責めず、構造を見る。
問題は、人ではない。構造が、人をそう動かしている。