デジタルトラストの文化を築く

Snykのビジョンは、デジタル世界をより安全な場所にすることです。

開発者向けのセキュリティソリューションを提供する企業として、私たちは、お客様やステークホルダーに、データとプライバシーを保護し、安全に守る能力を信頼していただきたいと考えています。これは「デジタルトラスト」とも呼ばれ、当社の価値提案とユーザー体験の中核であると同時に、常に取り組み続けるべき課題でもあります。

プライバシーとセキュリティに対するユーザーの意識が高まる今、企業は、ユーザーの秘密、メッセージ、画像、購入履歴、旅行計画、医療データ、そして「不満や弱さが表れるあらゆる瞬間」（ティム・クック氏が2019年のスタンフォード大学卒業式のスピーチで述べた言葉を借りれば）を、信頼できる管理者として守る存在であることを、どのように示せるでしょうか。

「信頼」が揺らぐ時代に成功し、リーダーとなることを目指す企業は、チェックリストを埋めるだけのコンプライアンス対応にとどまってはなりません。デジタルトラストを実践する企業は、競争優位性を獲得し、投資家にとってより魅力的な存在となり、従業員やステークホルダーからより大きな信頼を得られます。

望ましい企業行動を根付かせるための前提条件として、リーダーシップと説明責任がよく挙げられます。確かに、セキュリティ侵害や大規模なハッキングが発生すれば、自分たちが責任を問われることをリーダーは認識しています。そのため、コンプライアンス、セキュリティ、ITの専門家から成るチームが、厳格なポリシーとシステムやツールを活用して、こうしたリスクを確実に管理する役割を担います。しかし、セキュリティ上の欠陥やデータプライバシーの問題は、製品開発ライフサイクルの初期段階や、ビジネスプロセス、ワークフローの細部に潜んでいることが少なくありません。現場のチームが問題を見つけ、軌道修正が間に合うよう早期に警鐘を鳴らす必要があります。さらに、データ侵害のニュースになるのは、大規模なハッキングやコードの不具合とは限りません。何気ない不注意な行為が、意図せぬ広範な影響を引き起こすこともあります。つまり、ヒューマンエラーです。ヒューマンエラーをなくすのはほぼ不可能だと言ってよいでしょう。しかし、機微な個人データを扱う際の人々の考え方を変えれば、そのリスクを減らすことは可能です。

自社でデジタルトラストを実践するには、どうすればよいでしょうか。

「セキュリティファーストの考え方」「設計段階からのプライバシー確保とデフォルト設定」「継続的なコンプライアンス文化の醸成」といった言葉を耳にしたことがあるでしょう。では、コンプライアンスをどう実践すればよいのでしょうか。行動を変え、その考え方を文化に根付かせるにはどうすればよいのでしょうか。会社の全員に、心から関心を持ってもらうにはどうすればよいのでしょうか。

Snykがデジタルトラストを実践する行動と考え方を取り入れるために行ってきたことを、いくつかご紹介します。

• 話題にする。何度も、繰り返し。共有している重要なメッセージの一部をご紹介します。これほど重要性が高まったことはありません。デジタルトラストは、お客様が私たちに期待するものであり、その期待に応えることが私たちの成功につながります。職務にかかわらず、セキュリティとプライバシーは全員の責任です。法務チームがポリシーを作成し、セキュリティチームがツールを導入しても、誰もが機密データや個人データに触れる可能性があります。全従業員に基本研修を義務付け、特定の職務に就く人には追加研修を用意しています。社内向けのメッセージやガイダンス資料、全社ミーティングでは、実際に警鐘が鳴らされた事例やユースケースを取り上げています。そうすることで、従業員が危険の兆候を見極め、決して油断しないようにしています。

• 称賛する。セキュリティやプライバシーの問題を提起してくれた従業員に感謝し、称賛します。営業での受注や新製品のローンチを祝うのと同じように、プライバシー意識を持って行動した人を、Slackの#appreciationチャンネルで取り上げています。その行動によって、製品や機能の構築・設計方法を変えたり、機能をあえて開発しないと判断したりすることもあります。

• リーダーシップ。CEOのPeter McKayは、「デジタル世界をより安全な場所にする」というメッセージを、トップとして率先して発信しています。セキュリティ、倫理、トラストに関するニュースレターを四半期ごとに全従業員へ送り、セキュリティとデータプライバシーに対する責任を果たすためのヒントやリマインダーを伝えています。

• ドーナツ！もちろん、ドーナツ以外でもかまいません。デスクを離れるときにノートパソコンのロックを忘れると、同僚がその隙にあなたのSlackアカウントからオフィス全体へドーナツの絵文字を送ります。そして、うっかりロックを忘れた人が、オフィス全員にドーナツ（または同じような甘くて炭水化物たっぷりのお菓子）を買うことになります。これは、堅苦しさを感じさせずに、適切なセキュリティ習慣を育む方法の一例です。

• プライバシー推進担当者。セキュリティチームや法務・コンプライアンス部門が、あらゆる場所にいてすべてを把握することはできません。各チームに推進担当者を置くことで、チーム内で信頼され、状況を理解し、周囲に働きかける力を持つ人が、意識を高め、望ましい行動を後押しできます。追加のプライバシー研修や知識を得ることで、担当者の力を高めるとともに、本来の業務と並行してスキルを伸ばす機会にもなります。推進担当者は、会社のセキュリティ、法務、コンプライアンス機能を支える、かけがえのない存在です。

行動を変えるのは、いつだって簡単ではありません。セキュリティやプライバシーが魅力的な話題だと主張する人はいないでしょう。従業員の目標にコンプライアンスを組み込む、ポリシー違反に対して懲戒手続きを取るなど、アメとムチを使う方法を採用する企業もあります。こうした方法も、総合的な対策の一部として有効でしょう。しかし、デジタルトラストの文化を築くには、人々の考え方や行動に深く働きかける必要があります。デジタルセキュリティやデータプライバシーに人々が真剣に取り組むのは、それが会社にとって（ひいては自分にとって）どんな意味を持つのかを理解したときです。後押しを続ければ、最初は不自然に感じられる行動（ノートパソコンをロックするなど）も、習慣になります。セキュリティ侵害に対する適度な警戒心が浸透し、デジタルトラストの問題に気づけるよう、考え方が少しずつ変わっていきます。取り組みに終わりはありません。それでも、この問題を自分ごととして捉えてもらうことで、責任を持って安全に構築し、成長し、イノベーションを起こすための道を歩み始めています。