巨大製造企業のセキュリティ意識を変えよ　YKK APセキュリティ担当者の泥臭い“仕掛け”と“立ち回り”：「組織は正論だけでは動かない」（2/3 ページ）

» 2026年08月05日 05時00分公開

　次のエピソードは2020年ごろ。ちょうど新型コロナウイルス感染症が猛威をふるい、多くの企業が全社的な在宅勤務への移行を強いられた時期の話だ。YKK AP内のコロナ対策本部から在宅勤務推奨の通達が出され、IT側は急ピッチで運用を構築した。既にノートPCの配布が進んでいたため、テレワークへの移行自体は比較的スムーズに行われたが、セキュリティの観点では深刻な課題が山積していたという。

　通常時200人だったVPN同時接続ユーザーは常時3000人規模へと急増した。さらに、パッチ適用に課題のある約1万台のPCが、適切な防御策を持たないまま社外から社内システムにアクセスする状態となった。在宅勤務であるにもかかわらずWeb統制（セキュアWebゲートウェイ）も未整備であり、インターネットに直接接続する端末も存在した。社内ネットワークを前提とした境界防御が効きにくい環境へと急速に変化したのである。

　齋藤氏は、このままでは取り返しのつかない事態になると危惧し、推進責任者にリスクの状況を正確に理解してもらう行動に出た。万が一の事態が起きたときにセキュリティ担当者として責任を果たすためにも、最低限リスクを伝える必要がある。しかし、単にリスクを伝えるだけでは責任者も判断に迷うため、常時VPN接続、データ暗号化、EDR（Endpoint Detection＆Response）の導入など、複数の緊急対策案とその評価をまとめたマトリックスを作成した上で、コロナ対策本部や情報セキュリティ委員会の責任者を集め、臨時セキュリティ委員会を開催した。

　「現状、社内では対策が不足しており、緊急対策を実施してリスクを低減すべき」と提言した上で、齋藤氏は「この緊急対策をやりますか、もしくはやらないままリスクを認めた上で進めますか」と責任者に判断を迫った。会議資料には、「追加のセキュリティ施策を行うか行わないか、これを決めていただけるまでこの会議は終わりません」とも書かれていたという。

　リスクと対策をセットで提示して判断を求めた結果、責任者は防災予備予算の投入を決断した。短期間でEDRを全社展開し、リスクを低減した上でテレワーク環境を構築することができたと述べる。

　齋藤氏は、今後生成AIやエージェントAIの導入といった急進的な技術変化が起きた際にも、同様にセキュリティ対策が追い付かないという課題が再燃する可能性があると指摘。環境変化が急激な場合でも、責任者にリスクを正確に認識させることで、対策の必要性を迅速に判断できると述べた。

役割の壁に阻まれたパッチ配信環境の刷新プロジェクト

　次は、コロナ禍が過ぎた後の話だ。テレワークにおけるセキュリティ確保が一段落した後も、PCへのパッチ適用が遅れるという課題は残っていた。パッチ配信の停滞により、当時18カ月のサポート期間があったソフトウェアのアップデートサイクルに追従できない端末が発生していた。

　原因は、パッチ配信基盤から広域ネットワークへ繋がる帯域の逼迫（ひっぱく）と、社内の無線LAN構成の古さにあった。本来であれば拠点内で端末同士がパッチデータを共有するはずが、無線LANの構成上、全ての通信がデータセンターを経由するため、ネットワーク全体が輻輳（ふくそう）していたのである。根本的な解決には、PC側の運用改善だけでなく、ネットワーク課題にも対処して配信基盤自体を刷新する必要があった。

　しかし、パッチ配信の仕組みは、端末側の運用を担うPCチーム、ネットワークを管理するインフラチーム、リスク管理を担うセキュリティチームの3チームにまたがる部門横断の課題である。いずれのチームにとっても既存の役割の範囲を超えるテーマであったため、誰がプロジェクトをリードすべきかが明確に定まらない状態が続いた。

　齋藤氏は「各チームが役割に忠実であることから、誰がリードするかが決まらず、プロジェクトリーダーは空席のままになってしまっていた」と当時を振り返る。このままでは課題は解決しないと判断し、セキュリティチームが本来の役割を超えてプロジェクトをリードすることを決断した。結果として、各チームを巻き込んで連携を深めることができ、2025年に新しい配信基盤の稼働と運用チームへの移管を完了させることができた。

　齋藤氏は、組織の垣根を越えた複雑な課題を解決するには、関係者が自らの役割を超えて連携することが重要だとした。