巨大製造企業のセキュリティ意識を変えよ YKK APセキュリティ担当者の泥臭い“仕掛け”と“立ち回り”：「組織は正論だけでは動かない」（1/3 ページ）

セキュリティ施策の推進を阻む組織文化をどう変えるか。YKK APのセキュリティ担当者が、正論だけでは動かない組織を、意図的な演出や交渉術でどう動かしたかについて赤裸々に話した。

[宮田健，＠IT]

　2026年7月22日、東京・お台場で開催されたガートナー セキュリティ＆リスク・マネジメント サミットにおいて、YKK APの齋藤充宏氏が「日本の製造業におけるセキュリティ変革　YKK APの挑戦」と題した講演を行った。

　齋藤氏はTRI統括部 テクノロジー＆イノベーション部部長。2016年にYKK APへ入社後、DXの取り組みを推進してきたが、サイバー攻撃の脅威の高まりから2019年にセキュリティ組織を立ち上げ、全社横断的な協力体制を構築しながら施策を進めている。

　同氏は、日本の製造業特有の組織文化や制約に向き合いながら、セキュリティ担当者として組織を動かすためにどのように立ち回ってきたのかを説明した。

巨大なグローバル企業でセキュリティをどう担保していくのか

YKK APの齋藤充宏氏

　YKK APは、窓やドアなどの住宅用建材や、ビル外装などの建築用プロダクトを製造・販売する企業。前身となる吉田商事を1957年7月に設立しており、歴史の長いグローバル企業となった。YKKグループでは、創業者吉田忠雄氏の「他人の利益を図らずして自らの繁栄はない」という「善の巡環」を「YKK精神」として掲げており、齋藤氏もこれを「われわれにとって非常に重要な概念」と語る。

　2026年3月末時点では、従業員数約1万8000人、13カ国／地域に展開し、売上高は5576億円の一大グループとなった。一方で、長い歴史と巨大な企業規模は、全社的なサイバーセキュリティ施策の推進を妨げる。とりわけ製造業では、各部署が自らの役割に忠実で、仕事をきっちりと精緻にこなすが、その役割を1歩でも越えることには関わらないという組織文化になりがちだ。講演では4つのエピソードを通じ、齋藤氏が組織を動かすために行ったさまざまな工夫が語られた。

「委員長、私を含めて叱ってください」

　齋藤氏はまず、2019、2020年ごろの状況を振り返る。YKK APでは2018年度末に発生したセキュリティインシデントを契機として、経営陣の指示により体制の見直しが行われた。当時はセキュリティの専任組織が存在せず、インフラチームがセキュリティ業務を兼務している状態だった。2019年5月に専任組織が急遽新設されたが、予算策定時期が終わっていたため予算はなく、専任メンバーは2人という非常に小規模な体制でのスタートだった。社内の情報セキュリティ委員会の部会体制を活用し、各IT運用チームからの兼務メンバー複数名を巻き込んで施策を推進することになった。

　しかし、この委員会運営には幾つかの構造的な課題が存在したと齋藤氏は述べる。委員は本業の傍らで参画するためモチベーションが低くなりがちであり、執行役員から選出される任期制の委員長は必ずしもセキュリティの専門知識を有していなかった。常に事業要件が優先されるためセキュリティ施策は後回しにされ、年初に計画した施策が年度末になっても完了しない状況が常態化していた。

　齋藤氏は、この漫然と報告を繰り返すだけの委員会の空気を変え、施策遂行にコミットする組織へと転換させる必要性を感じていたという。

　転機は2020年に訪れる。体制変更により新しく委員長に就任した人物は、過去の業務を通じて齋藤氏と良好な関係を築いていた。「『齋藤なら安心して任せられる』と声をかけていただきありがたいと感じたが、同時に現場の雰囲気が変わらず、従来の委員会の空気から脱却できないのではないかという不安にもつながった」と当時のことを振り返る。

　齋藤氏はそこで一つ、現場に危機感を醸成するための仕込みを行う。委員長に「ごまかしの効かない厳しい委員長」として踏み込んだ指摘をしてもらえるよう依頼したのだ。

　同氏は委員長宛てに、翌日の委員会でのIT部会の報告内容に対して厳格に指摘してほしいと依頼するメールを送ったという。専門知識がない委員長でも踏み込んだ指摘ができるよう、前年のパッチ適用計画の結果やサーバリプレース計画の遅延、パッチ展開方針の矛盾など、具体的な弱点も事前に共有した。そして、内容によっては齋藤氏自身も含めて叱ってほしいと付け加えた。

　委員会当日、委員長は「未対応の台数はあまりにも多すぎる。いくらファイアウォール配下にあるとはいえ、リスクを放置した状態なのではないか」「以前からうまくいっているような進捗（しんちょく）報告をしていたが、いざ蓋を開けるとうまくいっていないのではないか。関係役員は知っているのか」「『強い危機感を抱いている』というコメントをきちんと伝え、次回を待たず早急に対応策を報告してほしい」などの厳しい指摘を行う。委員会参加者には極めて強い緊張感が生まれたという。

　このやりとりによって担当者に危機感が生まれ、IT部会内で指摘事項への対応を真剣に議論する空気が醸成された。例年は年度末になっても完了しない状況だったサーバパッチ適用計画は、この年3月の委員会時点で進捗率90パーセントに達し、年度内完了が見通せる状態になった。

　齋藤氏は、形骸化した組織を動かすための「意図的な緊張感の醸成」の実例としてこのエピソードを紹介した。トップに指摘役を担ってもらうことで、危機感を醸成し、施策遂行に真剣に取り組む組織を作る。時にはそういった仕掛けも必要となるのだ。

「決めていただけるまで会議は終わりません」