第2話 ISMSはおでんのように煮込め

　静岡市葵区、青葉通りから少し入った山崎行政書士事務所では、その朝、いつもより湯気が多かった。

　理由は二つある。

　一つは、所長の山崎香澄が淹れた深蒸し茶が、珍しく全員分、熱々だったこと。

　もう一つは、補助者のさくらが、事務所の小さな会議テーブルに山ほどの紙を広げていたことだった。

「さくらちゃん、これは……」

　陽翔がタブレットを抱えたまま、紙の山を見下ろした。

「チェックリストです！」

　さくらは胸を張った。

　山崎行政書士事務所に入って半年。明るく、真面目で、付箋を愛し、蛍光ペンを信じる若手スタッフである。彼女が本気を出すと、書類は虹色になる。

「今日のお客様、ISMS認証を目指している地元企業さんですよね。だから、情報資産台帳、リスク評価、アクセス権限、教育記録、社内規程、委託先管理……全部チェックできるように作りました」

「すごいじゃない」

　香澄が感心したように微笑む。

　悠真は紙束を一枚手に取り、静かに目を通した。

「項目も整理されている。初回ヒアリングには十分だと思う」

「ありがとうございます！」

　さくらの顔がぱっと明るくなる。

　陽翔も一枚手に取った。

「どれどれ……情報資産の分類。機密性、完全性、可用性。いいですね。次は……黒はんぺん、牛すじ、大根、卵、こんにゃく」

　沈黙が落ちた。

　青葉通りの向こうで、自転車のベルが軽く鳴った。

　香澄がゆっくり聞いた。

「さくらちゃん？」

　さくらは目を丸くした。

「え？」

　悠真が別の紙をめくる。

「教育記録の保管状況。受講日、対象者、研修内容、理解度確認。次の行に、だし粉、青のり、からし」

「……からし？」

　陽翔がさらに紙をめくる。

「リスク対応策の欄に、“もち巾着は最後に入れる”って書いてあります」

　さくらの頬が、深蒸し茶より熱くなった。

「ち、違います！　昨日、家で静岡おでんの買い物リストも作ってて……たぶん、ファイル名が似てて……」

「ISMSチェックリスト.xlsx」

　悠真が読み上げる。

「静岡おでんチェックリスト.xlsx」

　陽翔が続ける。

「これは危険ですね。情報セキュリティ事故です。分類ミスによる業務影響、発生可能性は高、影響度は中。ただし、おでん満足度は高」

「陽翔くん、分析しないでください！」

　さくらが慌てて紙を集めようとする。

　その瞬間、入口の鈴が、からん、と鳴った。

「おはようございます。駿河システム工房の杉山です」

　来客は三人だった。

　代表の杉山は四十代半ば、作業着の上にジャケットを羽織っている。地域の中小企業向けに在庫管理システムを作っている会社の社長で、顔つきは実直そのもの。ただ、目の下には深い疲労が刻まれていた。

　隣にいるのは総務担当の村松。手帳を二冊持ち、ペンを三本差し、緊張で肩が上がっている。

　もう一人は若手エンジニアの海野。パーカー姿で、明らかに「会議よりコードを書いていたい」という顔をしている。

「本日はよろしくお願いします。ISMS認証取得の件で……」

　杉山が頭を下げる。

　香澄はいつもの穏やかな笑顔で迎えた。

「こちらこそ、よろしくお願いいたします。どうぞおかけください」

　会議テーブルの上には、まだ一枚だけ残っていた。

　悠真が素早く回収しようとしたが、海野が先に視線を落とした。

「……情報資産台帳、アクセス権限、教育記録、黒はんぺん？」

　場が止まった。

　さくらは両手で顔を覆った。

　陽翔は小声で言った。

「黒はんぺんは、静岡では重要資産ですからね」

「陽翔くん」

　香澄の声はやさしいが、目は笑っていなかった。

　杉山が、ふっと笑った。

「いや、いいですね。うちも今、書類と現場がそれくらい混ざっています」

　村松が深くうなずいた。

「本当に混ざっています。社内規程もリスク評価表も、去年のフォルダにあるはずなんですけど」

　海野がぼそっと言った。

「去年のフォルダ、三つありますよ。『去年』『去年最新版』『去年これが本当の最新版』」

　陽翔が目を輝かせた。

「出ましたね。最新版三兄弟」

　悠真が静かに続ける。

「末っ子ほど信用できないことがあります」

　村松が肩を落とした。

「さらに、社長がデスクトップに保存している版もあります」

　杉山が目をそらした。

「いや、あれは念のためで……」

「念のためが増えると、念のため地獄になります」

　陽翔が言った。

「地獄というより、迷路ですね」

　香澄はお茶を出しながら、落ち着いた声で言った。

「今日はまず、今どこに何があるのかを一緒に確認しましょう。認証のためだけではなく、御社の皆さんが安心して仕事を続けられる仕組みにすることが大切です」

　杉山は、少し意外そうな顔をした。

「正直、認証を取ることが目的になっていました。取引先から求められて、急がなきゃと」

「それも大事なきっかけです」

　香澄はうなずく。

「でも、形だけ整えても、現場の人が使えなければ続きません。ISMSは、書類を飾るためではなく、日々の仕事を守るためのものです」

「日々の仕事を守る……」

　村松が手帳に書き込む。

　さくらは、深呼吸を一つした。

「では、改めて。おでん抜きのチェックリストで進めます」

「おでん入りでも、ある意味わかりやすかったです」

　海野が言った。

「本当ですか？」

「はい。具材が多いほど、鍋の中を整理しないと何が入っているかわからなくなるので」

　陽翔が指を鳴らした。

「名言来ました。ISMSはおでんのように煮込め」

　悠真が一瞬考えてから言った。

「たとえとしては、意外と悪くない」

「えっ、悠真さんが認めた」

「だしがあれば何でも入れていい、という意味ではない」

「厳しい補足」

　打ち合わせは、そこから本格的に始まった。

　最初に確認したのは、情報資産台帳だった。

「情報資産というのは、パソコンやサーバーだけではありません」

　悠真がホワイトボードに書いた。

　顧客情報。　契約書。　見積書。　ソースコード。　設計書。　社内の業務マニュアル。　社員の連絡先。　クラウドサービスのアカウント情報。

「業務で使う大切な情報を洗い出して、誰が管理しているのか、どこにあるのか、どのくらい重要なのかを見えるようにします」

　村松が困った顔をした。

「うち、顧客ごとの資料が共有フォルダにも、営業担当のパソコンにも、チャットにもあります」

「鍋が三つある状態ですね」

　陽翔が言った。

「しかも、どの鍋に大根が入っているかわからない」

「そのたとえ、今日ずっと続きます？」

　海野が聞く。

「続けます。静岡ですから」

　さくらはホワイトボードの横で、今度こそ正しいチェックリストを片手に進行した。

「まず、情報資産を分類します。顧客情報、開発資料、契約関係、社内管理情報。次に保管場所、管理責任者、利用者、重要度を確認します」

「管理責任者……」

　杉山が小さくつぶやいた。

「全部、何となく私になっている気がします」

「中小企業あるあるですね」

　香澄がやさしく言った。

「社長が全部背負うと、社長が休めません。情報の管理も、役割を分けたほうが会社は強くなります」

　杉山は苦笑した。

「休めない理由が、また一つ言語化されました」

　次は、アクセス権限だった。

　海野がノートパソコンを開くと、共有フォルダの構成が画面に映った。

「これが社内共有です。営業、開発、総務、経理、旧資料、旧資料バックアップ、旧資料バックアップ本物、退避、退避2」

　陽翔が頭を抱えた。

「旧資料バックアップ本物……」

　悠真が静かに言った。

「“本物”と名乗るフォルダは、だいたい身元確認が必要です」

　さくらは笑いをこらえながら、チェックリストに印をつける。

「アクセス権限は、必要な人が必要な範囲で使えるようにするのが基本です。全員が全部見られる状態だと、便利ですが、事故が起きたときの影響が大きくなります」

　村松が小さく手を挙げた。

「経理フォルダ、今たぶん全員見られます」

　海野が画面を操作する。

「見られますね。僕も賞与計算表を見ようと思えば見られます」

　杉山が青ざめた。

「見ないでくれ」

「見てません。見たら仕事のやる気が増えるか減るかわからないので」

「海野くん」

「冗談です」

　香澄が穏やかに言った。

「こういうことは、誰かを責めるためではなく、今後の事故を防ぐために確認します」

　杉山は深くうなずいた。

「そうですね。今まで、信頼しているから全部見えるようにしていました」

「信頼と権限管理は、別の話です」

　悠真が言った。

「信頼していないから制限するのではなく、信頼している社員を余計なリスクから守るために制限することもあります」

　村松が手帳にまた書き込んだ。

「社員を守るための制限……」

　陽翔が横からのぞく。

「村松さん、今日の名言集が充実してますね」

「認証審査より、名言審査が通りそうです」

　村松が少し笑った。

　午前中の最後に確認したのは、教育記録だった。

　杉山は自信ありげに言った。

「教育はやっています。毎年、情報セキュリティ研修をしています」

「記録はありますか？」

　悠真が聞いた。

「去年のフォルダに……」

　全員が一斉に杉山を見た。

　杉山は両手を上げた。

「すみません。言った瞬間、自分でも危ないと思いました」

　海野が検索をかけた。

「研修資料はあります。参加者一覧は……『研修出た人たぶん』というファイルが」

　さくらが小さく吹き出した。

「たぶんは困りますね」

「中身は？」

「社員名簿に丸がついています。あと、横に“佐野さん途中で電話”と書いてあります」

　陽翔が感心したように言った。

「臨場感はあります」

　悠真はまったく笑わずに言った。

「記録としては弱いです」

「ですよね」

　杉山がうなだれた。

　香澄はそこで、少しだけ声をやわらげた。

「でも、研修をしてきたこと自体は大切です。あとは、それを確認できる形に残しましょう。誰が、いつ、どんな内容を受けたか。理解度をどう確認したか。欠席者にはどうフォローしたか」

「そこまで必要なんですね」

　村松が言った。

「完璧な書類を作るというより、後から振り返れるようにすることです」

　さくらが続けた。

「たとえば、新しく入った社員さんがいたときに、何を教えればいいか分かる。怪しいメールを開きそうになった人がいたときに、次の教育に活かせる。記録があると、会社の経験が積み重なります」

　海野が顔を上げた。

「それ、いいですね。うち、トラブル対応がいつも口伝なんです」

「口伝」

　陽翔が反応した。

「老舗おでん屋の秘伝のだしみたいですね」

「実際、海野くんしか知らないサーバー設定があります」

　杉山が言った。

「それは秘伝にしてはいけないだしです」

　悠真が即答した。

　昼休み、香澄の提案で、全員で近くの静岡おでんの店に行くことになった。

　青葉通りを歩くと、木々の緑が風に揺れていた。駿府城公園のほうから、観光客らしい人たちの声が聞こえる。街はいつものように穏やかで、でも、どこか働く人たちの息づかいがあった。

　店に入ると、黒いだしの鍋から湯気が立っていた。

「これが本物のチェックリストです」

　陽翔が具材札を見ながら言った。

「黒はんぺん、牛すじ、大根、卵、こんにゃく、厚揚げ……」

　さくらは顔を赤くした。

「もう許してください」

「いや、今日の学びとしては重要です。情報資産台帳と具材表は分ける」

「当たり前です」

　杉山は串に刺さった大根を見つめながら言った。

「でも、本当に似ているかもしれませんね」

　香澄が首をかしげる。

「おでんとISMSですか？」

「ええ。最初は、認証なんて外から求められた飾りだと思っていました。でも、今日話してみて、鍋の中身を知らないまま火にかけていたんだなと気づきました」

　村松もうなずいた。

「どこに何があるか分からない。誰が見られるか分からない。研修をしたかどうかも、たぶん。これでは、何か起きたときに社員が困ります」

　海野が黒はんぺんを持ち上げた。

「しかも、困ったときに全部僕に聞かれる」

「海野くんも困りますね」

　香澄が言った。

「はい。僕が風邪をひいたら、会社の一部が止まります」

「それは会社にとっても、海野さんにとってもつらいですね」

　さくらは静かに言った。

「仕組みにするって、人を縛ることじゃなくて、一人に背負わせすぎないことでもあるんですね」

　悠真が頷いた。

「属人化を減らすことは、人を大事にすることでもあります」

　陽翔が串を片手に言った。

「また名言。今日、名言のだしが濃いですね」

　悠真は無言でからしを取った。

　午後、事務所に戻ると、作業は一気に進んだ。

　まず、情報資産台帳のひな形を作り直した。

　さくらが画面に項目を並べる。

「資産名、分類、管理責任者、保管場所、利用者、重要度、関連するリスク、備考」

　陽翔が横から言う。

「備考欄に“おいしい”は不要です」

「入れません！」

　村松は、社内の資料を確認しながら、一つずつ情報を埋めていった。

「顧客管理システム。管理責任者は営業部長。保管場所はクラウド。利用者は営業とサポート担当。重要度は高」

「ソースコード管理。管理責任者は海野さん？」

　さくらが聞く。

　海野は少し考えた。

「今は僕です。でも、今後は開発チームとして管理したほうがいいですね。僕だけが鍵を持っている状態はやめたいです」

　杉山が、少し驚いた顔で海野を見た。

「海野くん、今まで任せきりだったな」

「任せてもらえるのはありがたいです。でも、僕も休みたいです」

「そうだな」

　杉山は素直に頭を下げた。

「すまなかった」

　海野は照れたように黒いパーカーの袖をいじった。

「いや、謝られると、それはそれで気まずいです」

　陽翔が小声で言う。

「温かいですね。午後のおでん、まだ心に残ってます」

　次に、アクセス権限の整理を始めた。

　悠真はホワイトボードに、部署ごとに必要なフォルダを書いた。

「営業が見るもの、開発が見るもの、総務が見るもの、経理だけが見るもの。全員が見る必要のあるもの。まずは分けましょう」

「全員が全部見られるほうが楽だと思っていました」

　杉山が言った。

「最初は楽です」

　悠真は答える。

「でも、会社が大きくなるほど、楽だった仕組みが不安の原因になります」

　村松が経理フォルダの横に大きく丸をつけた。

「ここは経理と社長だけにします」

　海野が手を挙げた。

「僕のアクセス権、外してください。賞与計算表を見られる立場から卒業したいです」

「見てないんだよね？」

　杉山が言った。

「見てません。見てませんが、見られる状態はお互いに気まずいです」

「確かに」

　香澄が微笑んだ。

「気まずさを減らすのも、よい管理ですね」

　最後に、教育記録を整えた。

　さくらは新しいシートを作った。

「受講者、部署、受講日、内容、確認方法、欠席時フォロー。これでどうでしょう」

「わかりやすいです」

　村松がほっとした表情になる。

「これなら私でも続けられそうです」

「続けられることが大切です」

　香澄が言った。

「立派すぎる仕組みを作っても、誰も更新できなければ、すぐに古くなってしまいます」

　陽翔がうなずく。

「おでんも、火加減が大事ですからね。強火で一気に煮ると崩れます」

　悠真が静かに言った。

「今日のたとえの中では、一番まともだ」

「やった。悠真さんから星一ついただきました」

「一つだけだ」

　夕方になるころ、駿河システム工房の三人の表情は、来たときとはずいぶん違っていた。

　朝は「認証を取らなければ」という焦りがあった。

　今は、「会社の中を少しずつ整えられるかもしれない」という手応えがあった。

　もちろん、やることはまだ山ほどある。

　去年のフォルダはまだ三つある。　社長のデスクトップにも、謎の最新版が眠っている。　海野しか知らない設定も、まだ一部残っている。　教育記録の「佐野さん途中で電話」問題も、正式なフォローが必要だ。

　それでも、鍋の中身は見え始めていた。

「山崎先生」

　杉山が帰り際に言った。

「今日は、認証の準備をしに来たつもりでした。でも、社員が安心して働ける会社にする準備なんだと分かりました」

　香澄は静かに微笑んだ。

「それが一番大切だと思います」

　村松が手帳を胸に抱える。

「私、社内規程って、面倒な紙だと思っていたんです。でも、困ったときに戻れる場所になるんですね」

「はい」

　さくらが嬉しそうに言った。

「迷子にならないための地図みたいなものです」

　陽翔が小声で言う。

「前回は契約書が地図、今回は規程が地図。山崎事務所、地図屋さんみたいですね」

「迷子が多いからね」

　悠真が返す。

「主に陽翔くんが」

「僕は人生の探索中です」

「便利な言い方をするな」

　海野が笑った。

「でも、今日来てよかったです。僕、セキュリティって、怒られるためのルールだと思っていました」

「違いましたか？」

　香澄が聞く。

「はい。ちゃんと作れば、休めるためのルールにもなるんですね」

　杉山が海野を見る。

「まずは、海野くんが休める仕組みから作ろう」

「それ、議事録に残してください」

　海野が即答した。

「教育記録より先に」

　全員が笑った。

　駿河システム工房の三人が帰ったあと、事務所には夕方の光が差し込んでいた。

　さくらは、会議テーブルの上を片づけながら、小さくため息をついた。

「はあ……今日は本当にすみませんでした。チェックリストとおでん表を混ぜるなんて」

「でも、そのおかげで、お客様も少し話しやすくなったと思うよ」

　香澄が言った。

「失敗も、ちゃんと煮込めば味になることがあります」

　陽翔が感動したように顔を上げた。

「所長、それ今日一番の名言です」

「湯呑みに印字しないでね」

「では、おでん鍋に刻印を」

「もっとしないで」

　悠真は、さくらのチェックリストを一枚手に取った。

「内容はよくできていた。次からはファイル名をもう少し変えればいい」

「はい……」

「たとえば、“ISMS_初回ヒアリング用_おでんではない.xlsx”」

　さくらが顔を上げた。

「悠真さんが冗談を言った！」

　陽翔が立ち上がった。

「事件です。情報セキュリティ上の重大インシデントです」

「黙りなさい」

　悠真が即座に言う。

　香澄は声を出して笑った。

　青葉通りの木々が、窓の外でさらさらと揺れていた。街は夕方の色に染まり、帰り道を急ぐ人、犬を連れた人、買い物袋を提げた人たちが、それぞれの生活へ戻っていく。

　さくらは、正しいチェックリストをファイルに保存した。

　ファイル名は、少し悩んでからこうした。

「ISMS_初回ヒアリング用_社員が安心して働くための仕組み.xlsx」

　陽翔がのぞき込む。

「いいですね。ちょっと長いけど、気持ちは伝わります」

　悠真も画面を見た。

「悪くない」

　さくらは嬉しそうに笑った。

「ありがとうございます」

　その日の終業後、香澄が買ってきた静岡おでんを、三人とさくらで少しだけ分け合った。

　黒はんぺん、牛すじ、大根、卵。

　陽翔は串を片手に、しみじみと言った。

「ISMSって、おでんですね」

　悠真が眉を上げる。

「また始まった」

「一つひとつの具材をちゃんと見て、火加減を見て、だしを整えて、時間をかけて味をしみ込ませる。急いで形だけ作っても、おいしくならない」

　香澄はうなずいた。

「本当にそうね」

　さくらも大根を見つめながら言った。

「社員さんが安心して働けるように、少しずつ煮込んでいくんですね」

　窓の外では、青葉通りの灯りがともり始めていた。

　山崎行政書士事務所の一日は、今日もにぎやかに、少しだけ騒がしく、そして温かく終わっていく。

　ただし翌朝、事務所の共有フォルダに新しく作られたファイル名を見て、悠真は静かに固まった。

「静岡おでん_具材表_ISMSではない.xlsx」

　犯人は、もちろん陽翔だった。

　さくらは叫び、香澄は笑い、悠真は無言でファイル名を修正した。

　青葉通りの事務所では、今日もまた、書類と人情がほどよく煮込まれている。