柔軟性と革新性を損なわずにセキュリティを保つには

ハワイならではの価値観で距離の問題を克服

弊社は、科学、技術、工学という多分野にわたるコンサルタント会社です。本社のある米国ハワイ州のほか、カリフォルニア州、テキサス州、ワシントン D.C. に 160 名を超える科学者とエンジニアを擁しており、ハワイに本拠を置く企業として、「オハナ」（家族を意味するハワイ語）、好奇心、共同体という独自の価値観を実践しています。ハワイでの暮らしはすばらしいものですが、米国本土から遠く離れた熱帯地域ということで、弊社のビジネス意識に少し疑念を持つ方がいるかもしれません。しかし、本土との隔たり、多様性、そしておおらかな気質という私たちの特徴は、むしろビジネス面での強みとなっているのが実際のところです。最近のリモート ワークの普及が証明しているように、同僚と遠く離れた場所にいても、世界のどこで仕事をしていても、会社の利益に貢献することは可能です。これは、弊社が数十年にわたって続けている仕事のやり方なのです。

私が入社してから 25 年の間に、弊社はよくある工学分野のコンサルタント会社から、エネルギー、生物医学、航空宇宙、石油化学という幅広い産業のクライアントを顧客に持つグローバル企業へと成長を遂げました。今では、業務提携、ライセンス供与、直接生産を通じて市場にソリューションを提供しており、「概念から製品開発まで」というアプローチのもと、顧客の科学研究の成果を具体的な製品に昇華しています。しかも、そのほとんどは驚くほど短期間での製品化に成功しています。

いかにしてイノベーションとセキュリティを両立するか

弊社が絶対に避けたいと思っているのは、イノベーションを阻害することです。解決不可能に思えるほど困難な問題に対する破壊的なソリューションを見いだすためには、イノベーションが欠かせません。弊社が今取り組んでいる、気候変動や持続可能なエネルギー、医療費の高騰などは、まさにそうした課題です。

弊社が最近開発した製品の 1 つである Assure-19 は、新型コロナウイルスへの感染の有無をすばやく検査できる唾液検査キットで、現在は米食品医薬品局（FDA）の審査を受けています。この製品を開発するにあたっては、厳格なセキュリティ基準に従いつつ、社員が研究、開発、共同作業で最善を尽くせるようにすることが不可欠でした。

弊社にとって、セキュリティは大前提となるものですが、それによって仕事の進め方が決まるということはありません。弊社には、既存のツールとは別のツールを評価するためのワークフロー プロセスがあります。これは複雑なプロセスなのですが、簡単に説明すると、社員が柔軟性と創造性を保ちながらスマートに仕事ができる別のツールを見つけるための仕組みです。社員に対し、常にもっと高いレベルの仕事を要求するのであれば、社員がそれぞれのニーズに最適なツールを自由に選べる環境を用意する必要があります。

弊社では、標準的な業務ツールとして Office 365 を導入しています。しかし、エンド ユーザーや顧客、クライアントは別のツールを使っている場合もあるので、社内チームだけでなく外部関係者ともファイルを共有し、共同作業ができるように Dropbox も利用しています。弊社の社員は、共同作業のために以前から Dropbox を使っていますが、IT 担当者がその使用状況の管理や監視を行うことはしていませんでした。

これは弊社にとって珍しいことではありません。弊社では常に、セキュリティとイノベーションの両立を図ることに取り組んでおり、社員や請負業者、顧客が使用するクラウド プラットフォームを必ずしも監視していません。この方針はこれまでのところうまく機能してきましたが、最近では会社の規模拡大に合わせ、米国防総省（DoD）との請負契約などではより慎重なアプローチを採用しています。

コンプライアンス対策は必ずしも作業の進捗を阻害しない

DoD から継続的に業務を請け負うためには、サイバー セキュリティ成熟度モデル認証（CMMC）に基づく自己評価を政府に提出しなければなりません。この基準に準拠する最も簡単な方法は、CMMC と NIST の仕様に準拠しているツールを除き、すべての共同作業ツールを排除することです。Dropbox は、そのままで NIST のいずれかの基準を満たすことができますが、CMMC には対応していません。

CMMC が発表されてすぐ、私は弊社の CEO に呼ばれ、イノベーションが阻害されることのないようにと伝えられました。規制やコンプライアンスがビジネスの成長に役立つことはないというのが CEO の主張です。それよりも、セキュリティを強化しながら、社員が引き続きイノベーションに必要なツールにアクセスできるようにすることが重要だということでした。

社員全員が、機密性の高い政府情報を扱う政府関連の案件に関わるわけではありません。基準を満たさないツールを全面的に排除するのではなく、追加の IT セキュリティ要件を遵守する必要のない社員が、自分の仕事をするために面倒な手続きを踏まずに済むようにしてほしい。それが CEO の求めでした。