変革事例図鑑

事例：大規模組織における新しい働き方推進と両立する情報セキュリティ戦略 - 全社体制構築と従業員エンゲージメント向上アプローチ

Tags: 情報セキュリティ, 働き方改革, 大規模組織, リスク管理, 従業員教育

はじめに：新しい働き方における情報セキュリティの重要性

近年、働き方改革の推進により、リモートワーク、サテライトオフィス利用、クラウドサービスの活用、モバイルデバイスの業務利用などが急速に普及しています。特に大規模組織においては、従業員の多様な働き方を支援する上で、これらの新しい働き方の導入は不可欠な要素となっています。

しかし、働き方の多様化は、同時に新たな情報セキュリティリスクをもたらします。社外からのアクセス増加、多様なデバイスからの情報漏洩リスク、クラウドサービスの設定不備、サイバー攻撃の高度化など、従来の境界型セキュリティだけでは対応しきれない課題が増えています。

大規模組織では、システム構成の複雑さ、従業員数の多さ、多様な職種・部署の存在といった特性から、セキュリティ対策の導入・運用は一層困難を伴います。全社一律の対策では現場の実態に合わず、かといって部署ごとにバラバラの対策では管理が煩雑になり、セキュリティレベルにばらつきが生じるリスクもあります。

本記事では、ある大規模組織が、新しい働き方を安全かつ円滑に推進するために、情報セキュリティ戦略をどのように再構築し、人事部門がどのように関与して課題を克服し、成功へと導いたのか、その具体的な事例をご紹介します。

事例概要：新しい働き方導入に伴う情報セキュリティ体制の再構築

この事例の大規模組織（以下、A社）は、従業員数1万人を超える多拠点・多事業を展開する企業です。以前から働き方改革には積極的に取り組んでいましたが、パンデミックを契機に全社的なリモートワークやクラウドサービスの利用を本格的に推進することになりました。

導入前の課題

新しい働き方の導入前、A社のセキュリティ対策は、主に社内ネットワークの境界を守るファイアウォールや、組織内PCの一元管理に重点を置いていました。しかし、リモートワークの拡大により、従業員は自宅やサテライトオフィスから多様なネットワークを経由して社内システムやクラウドサービスにアクセスするようになり、従来のセキュリティモデルでは対応が困難になりました。

具体的には、以下のような課題を抱えていました。

目的

A社は、これらの課題を克服し、新しい働き方による従業員の柔軟性・生産性向上というメリットを享受しつつ、情報資産を確実に保護することを目的としました。具体的には、「セキュリティリスクを低減し、従業員が場所やデバイスを選ばずに安全に業務を遂行できる環境を整備する」「従業員のセキュリティ意識を高め、セキュリティ対策を組織文化の一部として定着させる」ことを目指しました。

具体的な取り組みとプロセス

A社は、情報セキュリティを新しい働き方の基盤と位置づけ、IT部門主導だけでなく、人事部門、法務部門、各事業部門が連携した全社的なプロジェクトとして取り組みを進めました。

  1. 情報セキュリティ方針・ガイドラインの見直しと周知徹底：

    • 新しい働き方を前提としたセキュリティポリシー（例：リモートアクセス時のルール、BYODに関する規定、クラウドサービス利用指針、情報持ち出し・共有ルール等）を策定・改訂しました。
    • 策定したポリシーは、単に配布するだけでなく、従業員向けに分かりやすく解説したハンドブックを作成したり、イントラネットでいつでも参照できるようにしたりするなど、周知方法を工夫しました。

  2. 技術的な対策の導入（ゼロトラストモデルへの移行）：

    • 「社内は安全、社外は危険」という従来の考え方から脱却し、「すべての通信は信頼できない」という前提に立つゼロトラストセキュリティモデルの導入を検討しました。
    • 具体的には、多要素認証（MFA：Multiple Factor Authentication）、アクセス制御の強化（SSE：Security Service Edgeなどの活用）、エンドポイントセキュリティの強化（EDR：Endpoint Detection and Responseの導入）などを段階的に導入しました。これにより、デバイスや場所に関わらず、アクセス元の正当性を常に確認し、不審な挙動を検知・対処できる体制を構築しました。

  3. 従業員への継続的なセキュリティ教育・意識向上策（人事部門の主導）：

    • 人事部門が中心となり、すべての従業員を対象としたセキュリティ教育プログラムを再設計しました。
    • 従来の集合研修に加え、eラーニングによる定期的な教育、フィッシングメール訓練（標的型攻撃メール訓練）、情報セキュリティに関する啓発コンテンツ（社内報、ポスター、動画など）の継続的な発信を実施しました。
    • 特に、新しい働き方に伴う具体的なリスク（例：公衆Wi-Fi利用時の注意点、Web会議ツールの安全な使い方、クラウドストレージの共有設定など）に焦点を当て、実践的な内容としました。
    • 部署ごとの業務特性に応じたカスタマイズ研修や、マネージャー層向けのセキュリティリスク管理研修なども実施し、現場での実践を促しました。

  4. インシデント発生時の対応体制構築と訓練：

    • セキュリティインシデントが発生した場合の報告・連携フローを明確化し、対応チーム（CSIRT：Computer Security Incident Response Teamなど）を組織横断で組成しました。
    • 定期的に模擬インシデント訓練を実施し、関係部門の連携や対応手順を確認・改善しました。

  5. IT部門との連携強化：

    • 人事部門は、新しい働き方に関する従業員のニーズや課題（利便性とのトレードオフなど）をIT部門にフィードバックし、技術的な対策の検討に活かしました。
    • IT部門は、最新のセキュリティ脅威情報や技術動向を人事部門に共有し、教育コンテンツの企画に協力しました。
    • 両部門が定期的に情報交換し、セキュリティ対策と働き方支援の両立を目指す体制を構築しました。

直面した課題と克服策

取り組みを進める中で、いくつかの課題に直面しました。

導入後の効果と成功要因

A社の取り組みは、新しい働き方を安全に推進する上で大きな効果を発揮しました。

成功の要因としては、以下の点が挙げられます。

他の組織への示唆

この事例から、大規模組織が新しい働き方を推進する上で、情報セキュリティ対策は避けて通れない重要な要素であり、以下の点が示唆されます。

  1. セキュリティ戦略は働き方改革とセットで考えるべき： 新しい働き方の制度やツールを導入する際には、必ず情報セキュリティリスクの評価と対策の検討を同時に行う必要があります。
  2. 組織横断的な連携が不可欠： IT部門任せにせず、人事、法務、事業部門など、関係部署が共通認識を持ち、役割分担しながら一体となって取り組む体制を構築することが重要です。人事部門は、従業員への教育・啓発、意識改革の面で中心的な役割を担うことができます。
  3. 「人」に焦点を当てた対策の強化： 技術的な対策だけでは不十分であり、従業員一人ひとりのセキュリティ意識向上と適切な行動が不可欠です。継続的で実践的な教育・訓練、分かりやすい情報提供を通じて、組織全体のセキュリティ文化を醸成する取り組みが求められます。
  4. 継続的な見直しと改善： サイバー攻撃の手法や働き方の変化は速く、一度対策を講じれば終わりではありません。定期的なリスク評価、技術動向のキャッチアップ、従業員へのヒアリングなどを通じて、対策を継続的に見直し、改善していく必要があります。
  5. 利便性との適切なバランス： セキュリティと利便性はトレードオフの関係になりがちですが、過度に厳格な対策は業務効率を著しく低下させ、かえって従業員が非公式な手段で情報共有するなど、シャドーITのリスクを高める可能性があります。リスクベースアプローチに基づき、業務実態に合わせた柔軟なルール設定や技術導入を検討することが重要です。

まとめ

大規模組織における新しい働き方の推進は、情報セキュリティ対策の再構築と切り離しては考えられません。本記事でご紹介した事例のように、経営層のリーダーシップのもと、IT部門と人事部門をはじめとする関係部署が緊密に連携し、技術・制度・人（従業員の意識・行動）の三位一体で取り組むことが成功の鍵となります。

特に人事部門は、従業員のセキュリティ意識向上に向けた教育や啓発活動において重要な役割を担います。情報セキュリティを「自分事」として捉え、適切な行動をとる従業員を増やすことは、組織全体のセキュリティレベル向上に直結します。

貴社においても、新しい働き方の導入や拡大を検討される際には、情報セキュリティの視点を忘れずに、全社的な取り組みとして計画・実行されることを強く推奨いたします。セキュリティは、多様な働き方を支える揺るぎない基盤となるはずです。