鷹の眼が見るもの

第一章　組織を揺るがす条件

　――ここは東京・大手町に本社を構える総合商社「双鷹（そうよう）トレーディング」。　大理石のフロアが広がる重厚な役員フロアの一室で、社長の辰巳重治が広報部長の津田梨香を前にして静かに口を開いた。

「津田君、来週の役員会で新規案件の提案があるが、その相手先からとんでもない条件を突きつけられてね」「条件、ですか？」「ああ。ビッグプロジェクトの共同事業を進める前提として、我が社に**ISMS（ISO27001）とプライバシーマーク（Pマーク）**を取得してほしいと。しかも期限は半年。それが飲めなければ、この話は白紙だとさ」

　ISMSやPマークは大手企業なら既に取得済みのところも多い。だが、双鷹トレーディングは総合商社として幅広い分野に手を伸ばしていたゆえ、プライバシー保護や情報セキュリティの統一的な管理体制を確立しきれていないのが現状だった。

「半年で両方……。相当なプレッシャーになりますね」「だが、この案件を逃せば大幅な業績拡大のチャンスを失うことになる。背水の陣だよ」

　辰巳は、パソコン越しに送られてきた契約書案を見つめながら言葉を続ける。

「広報部は社のブランドイメージも背負っている。情報管理体制の整備にあたって、君の力が必要だ。手を貸してくれないか」「わかりました。やるからにはやり遂げます」

　津田は深く頭を下げたが、その胸中は嵐のようだった。　彼女の背後で、鷹のシルエットが描かれた社章が、重々しく光っている。

第二章　孤高のコンサルタント

　翌週。双鷹トレーディングの役員会に姿を現したのは、独立系セキュリティコンサルタントとして名を馳せる御門俊哉だった。　30代後半の若さながら、外資や政府関連の案件を数多く手がけた経歴を持つ彼は、どこか鋭い雰囲気を漂わせている。

「ISMSとプライバシーマーク、両方を半年で取得することは可能です。ただし――」「ただし？」「相応の覚悟と社内改革が必要です。各部署が抱えている情報を棚卸しし、リスクアセスメントから文書化、教育研修に至るまで、一切の妥協を許さない。それが条件です」

　御門は役員たちを睥睨するように見渡した。　大企業の形式的な取り組みや、形だけの書類作りを散々見てきた彼には、この案件も同じ轍を踏ませないという強い決意があるのだろう。

第三章　動き出す歯車

　広報部長の津田を中心に、御門の指示のもとプロジェクトチームが発足した。人事部、総務部、営業部、IT推進部――それぞれの代表者が集められ、まずは情報資産の洗い出しに着手する。

1. 情報資産の特定

   • 契約書類、顧客データ、取引先情報、人事情報など、部門ごとに扱う情報をすべて棚卸し

   • 個人情報（氏名、住所、電話番号など）の管理方法の確認

2. リスクアセスメント

   • 各情報資産に対して、どのような脅威や脆弱性があるかを評価

   • 業務フローのどこにリスクが潜んでいるかを明確化

　それまで“情報は各部署が独自に管理するもの”という雰囲気だった双鷹トレーディングでは、部署間の連携がほとんどなく、実態把握に苦戦する。　しかし御門は、部署間の軋轢をもろともせず、次々に指示を飛ばしていく。

「営業部は顧客リストと紐づく個人情報をどう取り扱っているか、ルール化して記録していますか？　総務部は、出入り業者や従業員の個人情報をどこで一元管理してますか？」

　厳しい口調に反感を覚える者も少なくない。しかし、彼には確固たる理由があった。

「ISMSの審査では、ISO27001附属書Aに定められた114の管理策から、リスクに応じて必要なものを選ぶ必要があります。何が必要かを判断するためには、情報資産の実態を正確に把握しなければなりません」

　同時に**Pマーク（プライバシーマーク）**の取得に向けては、JIS Q 15001に基づく個人情報保護マネジメントシステム（PMS）の構築が求められる。利用目的の特定・開示請求への対応など、重視すべきポイントを押さえなければならない。

第四章　組織の暗部

　プロジェクトが中盤に差しかかる頃、御門はある事実に気付く。　双鷹トレーディングの一部門が、サプライヤー情報と個人顧客データを混在させて管理し、さらに海外サーバに無許可でアップロードしているらしい――。

「これは重大なインシデントの可能性がある。パスワードも共用、暗号化も施されていない状態だ」「それほど危険な状況なのですか？」「もし外部から不正アクセスされ、個人情報が流出したらどうなるか。Pマークどころか、企業としての信用は地に落ちますよ」

　津田は愕然とした。広報のトップとして、企業イメージを毀損しかねないリスクを見過ごしていた責任を重く感じる。

　しかし、さらに深刻な問題があった。　その部門は、かねてから役員の一人である大隅が管轄していた。取引先に便宜を図るために、アクセス権限を緩く設定していたのだ。追及が進めば、大隅の失態が表沙汰になる。しかし、大隅は重役ポストにいる。彼の保身からくる圧力は容易に想像がついた。

「無駄に騒ぎ立てるな。今さら厳格な管理を始めても、業務に支障が出るだけだ」

　大隅の言い分は半ば恫喝に近い。だが、御門は意に介さない。

「業務効率よりも、情報を守ることの優先度が低いとでも？　ISMSやPマークは看板だけの飾りではないんですよ」「……君、ずいぶん言うじゃないか」「私は事実を述べているだけです」

　御門と大隅の対立は、プロジェクト全体の大きな火種となっていく。

第五章　揺れる覚悟

　津田は、社長の辰巳に対して思い切って相談する。大隅の横暴は、もはやプロジェクトの破綻につながりかねないレベルに達していた。

「社長、私たちがどれほど頑張って改革を進めても、大隅常務が裏で邪魔をしてくるんです。あの方は自分の部署の不備が明るみに出るのを恐れているんでしょう」「……分かった。私から大隅に話をつけよう。双鷹トレーディングは古くからの慣習が多いが、今まさに変わらなければならないんだ」

　辰巳の声には決意がこもっていた。社長就任以来、彼が抱いてきた危機感。その裏には、同時期に水面下で進む海外企業とのM&Aの話も絡んでいる。もしISMSやPマークさえ取得できなければ、双鷹トレーディング全体の信用が下がり、そのM&A自体も破談になりかねない。　次の日、辰巳は大隅を呼び、組織改革の重要性を説き伏せたという。詳細は表に出なかったが、それから大隅の妨害は徐々に鳴りを潜めるようになった。

第六章　内部監査と外部審査

　プロジェクトの終盤にかけて、ついに内部監査が実施される。ISMSやPマークの要件に基づいて、文書化や運用状況を部門横断的にチェックする作業だ。　御門は監査チームを指揮し、書類や手順に不備があれば即座に是正措置を指示する。

「セキュリティポリシーの策定は、トップの承認を得た文書になっていますか？　個人情報保護方針（プライバシーポリシー）はウェブサイトや社内掲示で周知されていますか？」「教育記録はあるのか？　従業員がルールを本当に理解しているか？」

　津田をはじめとするメンバーたちは、連日深夜までかかって書類を整備し、運用手順の不備を修正する。そうしていくうちに、双鷹トレーディングの社内には少しずつ規律が生まれていった。守るべきもの、示すべき姿勢が、形となって顕在化していくのをメンバーたちは肌で感じていた。

　そして、満を持して外部審査に挑む。ISMSの審査機関とPマークの審査機関が来社し、膨大な書類やインタビューを通じて、不備がないかを細かく確認していく。　審査員からの質問は多岐にわたるが、御門や津田たちは懸命に答え、時には追加のエビデンスを提出しながら審査に臨んだ。

第七章　決断の果てに

　外部審査から数週間後、結果通知の封筒が届く。　ISMS（ISO27001）認証の取得決定、そしてプライバシーマークの付与――。

　津田は思わず息を呑み、手紙を握りしめた。　社内アナウンスが流れ、プロジェクトメンバーが一斉に歓声を上げる。幾度となくぶつかり合った御門も、静かに微笑んだ。

「よくやりましたね、津田さん。……もっとも、本当の戦いはここからですが」「ええ、ISMSもPマークも一度取得して終わりじゃない。維持審査、更新審査と、常に改善を求められます」

　そこに現れたのは、辰巳社長だった。

「ご苦労だったな。これで海外とのM&Aも交渉が進みそうだ。そして、我が社は真の意味で情報セキュリティと個人情報保護を重視する企業へと生まれ変わる。私が目指した“新しい双鷹”の第一歩だ」

　津田は誇らしげに、しかし気を引き締めながら深く礼をする。御門は軽く肩をすくめるだけだが、その瞳の奥には、まだ何かを見据える鋭い光が宿っている。

「世界は狙っている。情報漏えいというのは、いつどんな形で起こるかわからない。ISMSとPマークを形だけで終わらせないためにも、これからも鷹の眼で見張っていてくださいよ」

　社内に新たな風が吹く中、津田は心の中で静かに誓った――。　これからは、決して後戻りはしない。双鷹トレーディングが鷹のごとく舞い上がるため