大手食品企業のCISOの1日

SnykのVandana Verma Sehgalが、JustEatの情報セキュリティ部門ディレクターであるSherif Mansourに話を聞き、「CISOの1日」セッションを通じて、セキュリティリーダーとしての日々の仕事について伺いました。

Mansourは、大学を卒業してカイロに戻った後に出会ったDr. Sherif Hosniのもとでキャリアをスタートさせました。イギリスでは、工学、ソフトウェア工学、経済学を幅広く学びました。Dr. Sherif Hosniの会社は、コアバンキングシステムのアウトソーシングを専門としており、Mansourがセキュリティ業界に足を踏み入れるきっかけとなりました。

その後、University of Royal Hollowayで修士号を取得し、CX Loyalty、Expedia、JP Morgan Chaseで勤務した後、Just Eatに転職。現在は情報セキュリティ部門のディレクターを務めています。

Just Eatは情報セキュリティにどう取り組んでいるのでしょうか？

Just Eatは、情報セキュリティに対して3つのラインからなるアプローチを採用しています。第1ライン（CTOに報告）は、管理策を導入し、会社を保護するチームです。第2ライン（CFOに報告）は、保証を提供し、会社のリスクを明確にします。第3ラインは内部監査を実施し、さらに独立した視点を加えます。

Mansourは、インフラやクラウドを含むプラットフォームセキュリティと、アプリケーションセキュリティ、セキュリティ文化の醸成と啓発、独自のツールを開発しコミュニティと連携するセキュリティエンジニアリングで構成されるプロダクトセキュリティを担当するチームを統括しています。

CISOチームの運営方法

Mansourは、どのような組織の運営にも欠かせない柱として、コーポレートガバナンス、戦略とマーケティング、リーダーシップと財務を挙げています。

Mansourは、組織運営の手法について、TwitterとSquareのCEOを同時に務めたJack Dorseyから着想を得たといいます。Jackは、2つの事業に等しく時間を割けると周囲に話し、日、週、月ごとに優先事項を決め、それを軸に予定を組んでいました。たとえば、Inc誌の2015年の記事で紹介されたJack Dorseyの曜日ごとのテーマは次のとおりです。

月曜日：マネジメント
火曜日：プロダクト
水曜日：マーケティング、コミュニケーション、成長
木曜日：開発者とパートナーシップ
金曜日：企業文化と採用

「常に」割り込みが入るとしながらも、このスケジュールによって迅速に対応し、その日や週に最も重要なタスクへ意識を戻せるため、雑音に振り回されずに済むといいます。

Sherifはこの考え方を自分のチームにも取り入れ、5日間を次のように分けています。

月曜日：ロードマップ
火曜日：1対1のミーティングと、メンバーの障害になっていることの把握
水曜日：会社全体のリスク、進捗、脅威
木曜日：コーダー
金曜日：人と企業文化

チームはアジャイルに日々スプリントを進めていますが、Jack Dorseyと同様、Mansourは各曜日にテーマを設け、最大限の成果を上げるために、いつ何に集中すべきかを明確にしています。

CISOに最も求められること

その日に何に注力するかにかかわらず、あらゆる行動が会社と同じ方向を向いていることが重要です。

Mansourはチームとメンバーをとても大切にしています。チームとのミーティングでは、たいてい「調子はどうですか？」と最初に尋ねます。自由に答えられる質問をすることで、メンバーはより深く、個人的なことも含めて話せるようになります。幅広く話してもらうことで、その人について多くを知ることができます。個人的な問題から、仕事上の悩みまで把握でき、チームとのつながりをより深められます。

誰もが一度は経験したことのある、もう一つの大きな課題が、次々と起こる緊急事態です。どう対処すればよいのでしょうか。火に油を注ぐのではなく、どうすれば鎮火できるでしょうか。Sherifは、正しいことに集中するのがすべてだと考えています。すべての火急の事態に対応できないリスクをメンバーに理解してもらい、優先事項の変更は、最も影響の大きい問題に基づいて行うことが重要です。

まだご覧になっていない方は、Sherif Mansourが登場するCISOの1日の動画をぜひご覧ください。