情シス兼任者がひとりでセキュリティを背負う会社の限界

中小企業では、専任の情シス担当者がいないことが珍しくありません。

総務がITも見る。

経理がシステム契約も見る。

詳しい社員がなんとなく面倒を見る。

この体制自体が悪いわけではありません。

ただ、セキュリティまで全部ひとりに背負わせると、どこかで限界が来ます。

 

 

この記事について

 

Growth Securityでは、中小企業のDX・業務改善・セキュリティについて、ツール導入の前段にある「判断・整理・設計」を支援しています。

この記事も、現場で実際に起きていることをベースに整理しています。

 

 

 

はじめに

 

情シス兼任者は、本当に大変です。

パソコンの不具合、アカウント発行、SaaS契約、プリンタ、ネットワーク、問い合わせ対応、セキュリティ教育、取引先チェックシート。

本業が別にあるのに、ITまわりの相談が全部集まります。

しかも、うまく回っているときは評価されにくい。

トラブルが起きたときだけ、急に責任が重くなる。

この構造はかなりきついです。

 

先に結論

 

情シス兼任者がひとりでセキュリティを背負う会社の限界の要点を整理した図解

 

情シス兼任者がひとりでセキュリティを背負う会社の問題は、担当者の能力不足ではありません。

判断すべきことが、個人に集まりすぎていることです。

たとえば、

 

  • どのクラウドサービスを許可するか
  • 退職者アカウントをどう消すか
  • MFAをどこまで必須にするか
  • 取引先からのセキュリティ対応表にどう答えるか
  • ランサム時に何を優先して復旧するか

 

これらは、本来は経営判断や組織のルールが必要な話です。

担当者ひとりの善意で抱えるものではありません。

 

中小企業で起きる典型パターン

 

 

1. 詳しい人に全部集まる

 

「パソコンに詳しいから」

「前職でITをやっていたから」

「なんとなく分かるから」

こういう理由で、ひとりに相談が集まります。

最初はそれで回ります。

でも、会社のクラウド利用やセキュリティ要求が増えると、個人の経験だけでは判断しきれなくなります。

 

2. ルールがないので、その場判断になる

 

新しいSaaSを使っていいか。

外部共有していいか。

退職者のアカウントはどこまで消すか。

ルールがないと、その場その場で判断するしかありません。

結果として、担当者によって判断が揺れます。

 

3. 経営判断が必要な話まで現場に落ちる

 

ランサム対策、取引先対応、セキュリティ投資、DX計画。

これらは現場作業ではなく、経営判断を含むテーマです。

ところが、兼任担当者に「いい感じにやっておいて」と落ちることがあります。

これは担当者にとってかなり厳しい状態です。

 

まず確認すべきこと

 

兼任体制でセキュリティを回すなら、最初に次の線引きをした方がいいです。

 

  1. 担当者が判断してよいこと
  2. 管理職に確認すること
  3. 経営者が決めること
  4. 外部専門家に相談すること
  5. 月次で点検すること

 

この線引きがあるだけで、担当者の負担はかなり下がります。

特に、取引先対応やランサム時の判断まで担当者個人に背負わせないことが重要です。

 

自社だけで進めると詰まりやすいところ

 

情シス兼任体制では、何から手をつけるかが一番難しいです。

やるべきことは多いです。

 

  • ID管理
  • MFA
  • 退職者アカウント
  • クラウド利用
  • バックアップ
  • 社内教育
  • 取引先対応
  • DX計画

 

全部大事です。

ただ、全部を同時にやると止まります。

だから、会社の状況に合わせて、今月見ること、来月見ること、半年以内に整えることを分ける必要があります。

 

まとめ

 

情シス兼任者がひとりでセキュリティを背負う状態は、長く続けるほど危うくなります。

担当者が悪いわけではありません。

判断、責任、作業、説明がひとりに集まりすぎているだけです。

必要なのは、担当者を増やすことだけではありません。

何を誰が決めるのか、どこから外部の力を使うのかを整理することです。

セキュリティは、詳しい人ひとりの努力ではなく、会社として回る形にする必要があります。

 

 

 

もし「これ、うちも同じだな」と思ったら

 

今回書いたような、

 

  • 総務や管理部門がIT・セキュリティまで兼任している
  • 取引先対応やID管理が担当者任せになっている
  • 何から整えるべきか優先順位が決まっていない

 

こういった相談も受けています。

相談では、

 

  • セキュリティ・DXまわりの現状棚卸し
  • 担当者、管理職、経営者の役割分担整理
  • 月次で見るべきID管理・クラウド利用・取引先対応の点検

 

といったところから、現状整理と優先順位づけを一緒に進めることが多いです。

高額なツール導入や大きな体制変更を前提にせず、今ある体制で無理なく回る形を作ることを重視しています。気になったら、まずは状況整理だけでも声をかけてもらえればと思います。

ChatGPTを業務に入れる前に決めておくべき3つのルール

ChatGPTを業務で使いたい。

でも、情報漏えいが怖い。

現場ではすでに使っている人がいる気がする。

こういう状態の会社は多いです。

ここでよくあるのが、いきなり「使い方研修」から始めることです。

もちろん研修は大事です。

ただ、その前に決めるべきことがあります。

 

 

この記事について

 

Growth Securityでは、中小企業のDX・業務改善・セキュリティについて、ツール導入の前段にある「判断・整理・設計」を支援しています。

この記事も、現場で実際に起きていることをベースに整理しています。

 

 

 

はじめに

 

生成AIは、使う人によって効果がかなり変わります。

議事録、メール文面、提案書のたたき台、社内FAQ、コード、調査メモ。

うまく使えば、かなり便利です。

一方で、会社として何も決めないまま使い始めると、次のような問題が起きます。

 

  • 顧客情報を入力してよいか分からない
  • 社内資料を貼り付けてよいか分からない
  • AIの回答をそのまま顧客に送ってよいか分からない
  • 誰が最終確認するのか分からない
  • どのツールなら使ってよいのか分からない

 

曖昧なままだと、使う人は勝手に判断します。

 

先に結論

 

ChatGPTを業務に入れる前に決めておくべき3つのルールの要点を整理した図解

 

ChatGPTを業務に入れる前に決めるべきルールは、まず3つです。

 

  1. 入力してよい情報
  2. 使ってよい業務
  3. 人間確認が必要な場面

 

この3つが決まっていれば、かなり運用しやすくなります。

逆に、ここが曖昧なまま「AIを活用しましょう」と言うと、現場は不安なまま使うか、黙って使うか、怖くて使わないかのどれかになります。

 

ルール1: 入力してよい情報

 

まず決めるべきなのは、何を入力してよいかです。

たとえば、

 

  • 公開情報
  • 個人情報
  • 顧客情報
  • 契約情報
  • 社内会議メモ
  • 未公開の事業計画
  • ソースコード

 

これらを同じ扱いにしてはいけません。

「機密情報は入れない」とだけ書いても、現場では判断できません。

どの情報が機密なのか、どこまで加工すれば使ってよいのかを決める必要があります。

 

ルール2: 使ってよい業務

 

次に、どの業務で使ってよいかを決めます。

最初は、下書きや整理に使うのが現実的です。

 

  • 議事録の要約
  • メール文面のたたき台
  • 社内説明資料の構成案
  • 調査メモの整理
  • FAQ案の作成

 

一方で、最初から完全自動で顧客送信やシステム更新まで任せるのは危険です。

AIの利用範囲は、段階的に広げた方が安全です。

 

ルール3: 人間確認が必要な場面

 

AIの回答は便利ですが、常に正しいわけではありません。

だから、人間確認が必要な場面を先に決めます。

 

  • 顧客に送る文面
  • 契約や金額に関わる内容
  • 法務・人事・労務に関わる内容
  • セキュリティ判断
  • 社外公開する文章

 

このあたりは、少なくとも最初は人間確認を前提にした方がいいです。

 

自社だけで進めると詰まりやすいところ

 

生成AIルールで難しいのは、厳しすぎても緩すぎても失敗することです。

厳しすぎると、現場は使わなくなります。

緩すぎると、情報漏えいや誤回答のリスクが上がります。

だから、自社の業務に合わせて、

 

  • どの情報を扱うか
  • 誰が使うか
  • どのツールを許可するか
  • どこまでログを残すか
  • どの部署から始めるか

 

を決める必要があります。

 

まとめ

 

ChatGPTを業務に入れる前に必要なのは、すごいプロンプト集ではありません。

まずは、入力してよい情報、使ってよい業務、人間確認が必要な場面を決めることです。

ここが決まれば、現場は安心して試せます。

ここが曖昧だと、便利なのに正式利用できない状態になります。

生成AI活用は、プロンプトより先に利用ルールです。

 

 

 

もし「これ、うちも同じだな」と思ったら

 

今回書いたような、

 

  • ChatGPTを業務で使わせたいが、情報漏えいが不安
  • 現場がすでに使っていそうだが、ルールがない
  • どの情報を入力してよいか判断できない

 

こういった相談も受けています。

相談では、

 

  • 生成AI利用ルールの作成
  • 社内データの分類と持ち出し境界の整理
  • 人間確認、承認、ログの運用設計

 

といったところから、現状整理と優先順位づけを一緒に進めることが多いです。

高額なAIツール導入を前提にせず、今ある業務で安全に試せる範囲を決めることを重視しています。気になったら、まずは状況整理だけでも声をかけてもらえればと思います。

使っていないサービスのアカウント、いくつ残っているだろう

週末なので、少し雑談です。

ほとんど覚えていないサービスから、利用規約変更のお知らせが届くことがあります。

メールを見ても、いつ、何のために登録したのか、すぐには思い出せません。

そんなとき、自分のアカウントはいくつ残っているのだろうと思います。

 

 

この記事について

 

今日は、会社のアカウント管理ではなく、個人で使っているサービスの話です。

増え続けるアカウントを、デジタル上の片付けとして考えてみます。

 

 

 

はじめに

 

ネットサービスのアカウントは、簡単に作れます。

買い物を一度するため、アプリを試すため、イベントに申し込むため。

そのときは必要でも、使わなくなったあとに退会するところまでは、なかなか手が回りません。

 

  • 一度だけ買い物をした通販サイト
  • 無料期間だけ試したサービス
  • 昔使っていたゲームやアプリ
  • 終了したイベントの予約サイト
  • 転職や引っ越しのときだけ使ったサービス

 

こうして、使っていないアカウントが少しずつ残っていきます。

 

先に結論

 

使っていないアカウントは、目の前の邪魔にはなりません。

だから、部屋の物よりも片付けを後回しにしやすいです。

ただ、使っていなくても、名前やメールアドレス、住所、購入履歴などが残っていることがあります。

使っていないものほど、自分の目が届かなくなる。

それが、古いアカウントの少し気になるところです。

 

登録したときのことは、意外と覚えていない

 

アカウントを作った瞬間は、目的がはっきりしています。

欲しいものを買いたい、予約したい、アプリを使いたい。

その目的が終わると、サービスの存在も少しずつ忘れます。

一方で、サービス側には登録情報が残ります。

こちらは忘れていても、アカウントだけは静かに残り続けることがあります。

 

メールが届いて、初めて思い出す

 

古いアカウントに気づくきっかけは、メールが多いと思います。

利用規約の変更、長期間ログインしていないという案内、キャンペーンのお知らせ。

ただし、メールに書かれたリンクを、そのまま開くのは少し注意が必要です。

本物のお知らせに見せた偽メールもあるため、確認するときは公式アプリや、普段使っているブックマークから入る方が安心です。

 

退会とメール停止は別のこと

 

お知らせが多いと、まず配信停止を押したくなります。

ただ、メールを止めても、アカウント自体が消えるとは限りません。

反対に、使わないからと急いで退会すると、購入履歴や保証情報、残っているポイントが見られなくなることもあります。

片付ける前に、次のようなものがないか確認した方がよさそうです。

 

  • 継続中の有料契約
  • 残っているポイントや残高
  • 必要な購入履歴や領収書
  • 保存しておきたい写真やデータ
  • 他のサービスとのログイン連携

 

消すこと自体を目的にせず、残す理由があるかを見るくらいがちょうどいいと思います。

 

全部を一日で片付けなくていい

 

何年も使ってきたアカウントを、全部洗い出すのは大変です。

おそらく、完全な一覧を作ろうとすると途中で嫌になります。

まずは、覚えていないサービスからメールが届いたときに、そのままにせず一つだけ確認する。

使っていないなら退会する。

残すなら、古いパスワードのままになっていないかを見る。

そのくらいでも、少しずつ整理できます。

 

デジタルの物置は見えにくい

 

部屋の物は、増えれば目に入ります。

でも、使っていないアカウントは場所を取りません。

スマホの画面からアプリを消しても、サービス側の登録まで消えたとは限りません。

見えなくなったことで、片付いたような気持ちになるのが、デジタルの難しいところです。

 

おわりに

 

昔登録したサービスを、全部覚えている人はほとんどいないと思います。

だから、使っていないアカウントが残っていること自体を、強く責める必要もありません。

週末の与太話としては、古いサービスからメールが届いたとき、それを少し面倒なお知らせではなく、デジタルの物置を一つ片付けるきっかけだと思うくらいがちょうどよさそうです。

スマホをなくしたと思った5分間

週末なので、少し雑談です。

スマホが、いつもの場所にない。

ポケットにも、かばんの中にも見当たらない。

実際には5分くらいでも、なくしたかもしれないと思った時間は、妙に長く感じます。

 

 

この記事について

 

今日は、スマホの設定を細かく解説する記事ではありません。

スマホが見当たらない数分間に何が頭をよぎるのか、という与太話です。

 

 

 

はじめに

 

スマホをなくしたと思ったとき、最初に気になるのは本体の値段だと思っていました。

でも、実際に頭に浮かぶのは、それだけではありません。

 

  • 写真は戻せるだろうか
  • 家族や仕事の連絡先は分かるだろうか
  • 銀行や決済アプリは大丈夫だろうか
  • 認証コードを受け取れなくならないだろうか
  • 誰かに中身を見られないだろうか

 

小さな端末の中に、思っていた以上に生活が集まっています。

 

先に結論

 

スマホをなくす怖さは、端末を買い直すことだけではありません。

連絡、写真、お金、本人確認など、日常への入口をまとめて失うことの方が大きいのだと思います。

普段は便利さとして感じているものが、見当たらなくなった瞬間に、急に重く見えてきます。

 

最初に気になったのは、誰かに見られないか

 

スマホには画面ロックがあります。

それでも、通知の内容が画面に表示される設定になっていることがあります。

メールの件名やメッセージの一部、予定、認証コード。

本体を開けなくても、ロック画面から意外と多くのことが分かります。

普段は通知が見やすくて便利ですが、手元から離れたときには見え方が変わります。

 

次に気になったのは、戻せるかどうか

 

写真や連絡先は、たぶんバックアップされている。

そう思っていても、最後にバックアップされた日時まで確認している人は、あまり多くないと思います。

機種変更のときは案内に沿って移せても、端末が突然なくなった場合は同じように進められるとは限りません。

特に、認証アプリや一部のメッセージ履歴は、普段使えているからこそ、戻し方を意識しにくいものです。

 

そして、スマホでしかできないことに気づく

 

昔なら、電話をなくしたという感覚だったのかもしれません。

今は、スマホがないとログインできないサービスがたくさんあります。

 

  • SMSで認証コードを受け取る
  • 認証アプリでログインを承認する
  • QRコードのチケットを表示する
  • 電子決済を使う
  • 地図や乗換案内を見る

 

財布と鍵と連絡帳を一緒になくしたようなもの、と言われることがあります。

実際には、それに本人確認の道具まで加わっている気がします。

 

見つかったあとに確認するなら

 

スマホが無事に見つかると、さっきまでの焦りはすぐに薄れます。

そして、確認しようと思っていたことも、そのまま忘れがちです。

全部を完璧にする必要はありませんが、次の項目を一度見るだけでも違います。

 

  1. 端末を探す機能が有効になっているか
  2. 画面ロックが設定されているか
  3. ロック画面に何の通知が表示されるか
  4. 写真や連絡先が最後にいつバックアップされたか
  5. スマホがなくてもアカウントを復旧できるか

 

特に最後の項目は大事です。

スマホを探すサービスにログインしようとして、そのスマホに認証コードが届く状態では困ります。

 

なくしていないときにしかできないこと

 

紛失対策は、なくしたあとに初めて必要になります。

でも、設定できるのは、スマホが手元にあるときです。

少し矛盾しています。

だからこそ、何も起きていない週末に、ひとつだけ確認するくらいがちょうどいいのかもしれません。

 

おわりに

 

スマホが見当たらない5分間は、普段どれだけ多くのことを一台に任せているかを考える時間になります。

本体が高いから困るのではなく、その中にある生活への入口が多いから焦る。

週末の与太話としては、なくしてから完璧に対処しようとするより、なくしていない今、探す機能やバックアップをひとつ確認しておく方が気楽だと思います。

DXの成果が経営層に伝わらず、予算が止まる会社

「DXを進めているのに、経営層の反応が薄い」

 

こういう相談はよくあります。

 

現場では確かに便利になっている。

 

処理時間も短くなった。ミスも減った。問い合わせも減った。

 

でも、報告会ではこう聞かれる。

 

「で、どれくらい効果があったの？」

 

ここで詰まる会社は多いです。

 

 

 

この記事について

 

 

Growth Securityでは、中小企業のDX・業務改善・セキュリティについて、ツール導入の前段にある「判断・整理・設計」を支援しています。

 

この記事も、現場で実際に起きていることをベースに整理しています。

 

 

 

はじめに

 

 

DXの成果は、現場では見えやすいです。

 

「前より楽になった」

 

「確認が早くなった」

 

「紙が減った」

 

これは間違いなく成果です。

 

ただ、経営層が予算を判断するときには、もう一段翻訳が必要です。

 

現場の便利さを、そのまま経営会議に持っていっても、投資判断の材料としては弱いことがあります。

 

 

先に結論


 

DXの予算が止まる会社は、必ずしも成果が出ていないわけではありません。

 

多くの場合、成果を経営の言葉に翻訳できていないだけです。

 

経営層が見たいのは、

 

  • 何時間減ったのか
  • いくらに換算できるのか
  • 来年も効果が続くのか
  • やめたら何を失うのか
  • 他部署に広げるとどうなるのか

 

という情報です。

 

「便利になりました」ではなく、「投資判断に必要な材料」にする必要があります。

 

 

予算が止まりやすい報告のパターン

 

 

 

1. 利用率だけを報告している

 

 

ログイン数、利用者数、入力件数。

 

これらは重要ですが、それだけでは足りません。

 

使われていることはスタート地点です。

 

使われた結果、何が変わったのかまで出す必要があります。

 

 

2. 定性的な表現が多い

 

 

「業務効率が向上しました」

 

「現場の満足度が上がりました」

 

「コミュニケーションが改善しました」

 

どれも悪くありません。

 

ただ、経営層から見ると「どれくらい？」が残ります。

 

 

3. 継続性が見えていない

 

 

今期だけの成果では、来期予算の根拠として弱いです。

 

来年も続くのか。横展開できるのか。止めたらどんな損失があるのか。

 

ここまで出すと、予算の話につながります。

 

 

まず確認すべきこと

 

 

DX成果を報告する前に、次の項目を整理するとかなり変わります。

 

  1. Before/Afterで変わった時間・件数・ミス数
  2. 金額換算の前提
  3. 継続性の根拠
  4. 横展開できる部署や業務
  5. やめた場合の損失

 

特に大事なのは、金額換算の前提です。

 

人件費、処理件数、削減時間、機会損失。

 

計算の根拠が曖昧だと、報告のたびに数字の正しさで揉めます。

 

 

自社だけで進めると詰まりやすいところ

 

 

成果報告で難しいのは、数字を作ることだけではありません。

 

どの数字が経営判断に効くかを選ぶことです。

 

現場にとって大事な数字と、経営層が見たい数字は違うことがあります。

 

たとえば、現場は「問い合わせが減った」と感じている。

 

でも経営層には、「問い合わせ対応に使っていた時間が月何時間減り、その時間を何に使えたか」まで出した方が伝わります。

 

この翻訳作業が、DX報告の一番重要な部分です。

 

 

まとめ

 

 

DXの成果が伝わらない会社は、成果がないわけではありません。

 

現場の言葉のまま報告しているだけです。

 

便利になった。

 

楽になった。

 

早くなった。

 

ここから一歩進めて、時間、金額、継続性、やめた場合の損失で語る。

 

DXの推進は、半分は実行、半分は翻訳です。

 

 

 

もし「これ、うちも同じだな」と思ったら

 

 

今回書いたような、

 

  • DXは進めているが、経営層の評価が上がらない
  • 成果報告のたびに「で、何が変わったの？」と聞かれる
  • 来年の予算が削られそうで不安がある

 

こういった相談も受けています。

 

相談では、

 

  • 経営に伝わるKPI設計
  • 効果の金額換算と報告フォーマットの整理
  • 次年度予算につなげる提言構成の作成

 

といったところから、現状整理と優先順位づけを一緒に進めることが多いです。

 

高額なダッシュボードや大規模分析を前提にせず、今ある数字から経営に伝わる形へ整理することを重視しています。気になったら、まずは状況整理だけでも声をかけてもらえればと思います。

DXをどこから進めるべきか分からない会社が、最初に捨てるべき発想

DXを進めたい。

 

でも、何から始めればいいか分からない。

 

こういう相談はかなり多いです。

 

ツールはたくさんあります。補助金の情報もあります。成功事例もあります。

 

ただ、情報が多いほど迷います。

 

そして、多くの会社が最初にやろうとするのが「全社的なDX構想を作ること」です。

 

方向性としては間違っていません。

 

ただ、最初の一歩としては重すぎることがあります。

 

 

 

この記事について

 

 

Growth Securityでは、中小企業のDX・業務改善・セキュリティについて、ツール導入の前段にある「判断・整理・設計」を支援しています。

 

この記事も、現場で実際に起きていることをベースに整理しています。

 

 

 

はじめに

 

 

DXという言葉は大きすぎます。

 

業務効率化、ペーパーレス、データ活用、顧客管理、AI、クラウド、セキュリティ。

 

全部がDXに見えます。

 

だから、最初から全部を整理しようとすると止まります。

 

「うちのDX方針を作らないと」

 

「全社でロードマップを作らないと」

 

「まずシステム全体を見直さないと」

 

こう考えるほど、着手が重くなります。

 

 

先に結論


 

DXをどこから進めるべきか分からない会社が、最初に捨てるべき発想はこれです。

 

最初から全社最適を狙うこと。

 

全社最適は大事です。

 

でも、最初の一歩はもっと小さくていいです。

 

見るべきなのは、現場で一番詰まっている業務です。

 

  • 何度も同じ入力をしている
  • 特定の人に確認が集中している
  • Excelが複雑化している
  • 承認が止まりやすい
  • 紙とメールが混在している

 

こういう詰まりどころから始めた方が、成果が見えやすいです。

 

 

中小企業で起きる典型パターン

 

 

 

1. ツール選定から始める

 

 

「何のツールを入れるか」から入る会社は多いです。

 

ただ、業務のどこを変えるかが決まっていない状態でツールを選ぶと、導入後にこうなります。

 

「便利そうだけど、うちの業務に合わない」

 

ツールは答えではなく、業務を変える手段です。

 

 

2. いきなり全社展開を考える

 

 

小さく試す前に、全社導入を前提にしてしまうパターンです。

 

全社展開は、関係者も多く、調整も重くなります。

 

最初の一歩が重くなるほど、何も始まらなくなります。

 

 

3. 成果指標がないまま始める

 

 

「効率化したい」

 

「情報共有を良くしたい」

 

「ミスを減らしたい」

 

これ自体は良い目的です。

 

ただ、何がどれくらい変われば成功なのかを決めていないと、導入後に評価できません。

 

 

まず確認すべきこと

 

 

最初に見るべきなのは、全社のシステム構成図ではありません。

 

次のような業務の詰まりです。

 

  1. 時間がかかっている業務
  2. ミスが多い業務
  3. 特定の人にしか分からない業務
  4. 紙やメールで止まりやすい業務
  5. 取引先対応で手戻りが多い業務

 

ここから、90日で改善できるテーマを1つ選びます。

 

小さくても構いません。

 

重要なのは、変化を数字で見える状態にすることです。

 

 

自社だけで進めると詰まりやすいところ

 

 

DXの優先順位づけは、現場の困りごとだけでは決まりません。

 

経営への影響も見る必要があります。

 

  • 工数削減につながるか
  • 売上機会を増やせるか
  • ミスや手戻りを減らせるか
  • 取引先対応が楽になるか
  • セキュリティリスクも下げられるか

 

現場の困りごとと、経営上の効果をつなげる。

 

ここが一番難しいところです。

 

 

まとめ

 

 

DXは、最初から大きな構想で始めなくても大丈夫です。

 

むしろ中小企業では、最初の一歩を小さくした方が進みます。

 

全社最適をいきなり狙うのではなく、業務の詰まりどころを1つ見つける。

 

90日で変化を出す。

 

その結果をもとに次を決める。

 

DXは、大きく考えて小さく始める方が、結果的に続きます。

 

 

 

もし「これ、うちも同じだな」と思ったら

 

 

今回書いたような、

 

  • DXを進めたいが、何から始めるべきか決められない
  • ツール選定ばかり進んで、業務整理が追いついていない
  • 経営層に説明できるDX計画がない

 

こういった相談も受けています。

 

相談では、

 

  • 業務の詰まりどころの棚卸し
  • 90日で進めるDXテーマの選定
  • 現場と経営の両方に説明できる実行計画の作成

 

といったところから、現状整理と優先順位づけを一緒に進めることが多いです。

 

高額なツール導入や大きな改革を前提にせず、今ある環境から無理なく整える進め方を重視しています。気になったら、まずは状況整理だけでも声をかけてもらえればと思います。

クラウド利用を禁止するほど、現場のセキュリティが危なくなる理由

「クラウドは危ないから使わない」

こういう方針を聞くことがあります。

気持ちは分かります。

情報漏えいが怖い。設定ミスが怖い。誰が何を共有しているか分からなくなるのが怖い。

ただ、現場を見ていると、クラウドを強く禁止するほど、別のリスクが増えることがあります。

会社が許可した安全な道がないと、現場は勝手に抜け道を作るからです。

 

 

 

この記事について

 

Growth Securityでは、中小企業のDX・業務改善・セキュリティについて、ツール導入の前段にある「判断・整理・設計」を支援しています。

この記事も、現場で実際に起きていることをベースに整理しています。

 

 

 

はじめに

 

クラウド利用を禁止すれば、安全になる。

これは半分だけ正しいです。

確かに、管理できないクラウド利用は危険です。

でも、業務上ファイル共有や外部連携が必要なのに、会社が安全な手段を用意していないと、現場は別の方法を探します。

 

  • 個人のGoogle Driveに置く
  • 個人LINEで送る
  • 私用メールに転送する
  • USBで持ち出す
  • 無料のファイル転送サービスを使う

 

こうなると、会社からは見えなくなります。

 

先に結論


 

クラウド利用で大事なのは、禁止することではありません。

 

会社として、使ってよい場所と使い方を決めることです。

 

禁止だけでは、現場の業務は止まりません。

 

止まらない業務は、必ず別の道を見つけます。

 

その道が会社から見えない場所になると、セキュリティはむしろ下がります。

 

 

中小企業で起きる典型パターン

 

 

 

1. 公式ルールがないので、部署ごとに違う

 

 

営業はGoogle Drive、管理部門はメール添付、開発はDropbox、現場はLINE。

 

こういう会社は珍しくありません。

 

それぞれは便利ですが、会社全体では情報の置き場所が散らばります。

 

結果として、退職者の共有解除、外部共有の確認、ファイル削除の判断が難しくなります。

 

 

2. 禁止しているのに、現場では使われている

 

 

規程上はクラウド禁止。

 

でも、実際には使われている。

 

この状態が一番危ないです。

 

なぜなら、会社が「使っていない前提」でいるため、設定確認も教育も監査もされないからです。

 

 

3. 権限管理が後回しになる

 

 

クラウド利用で本当に重要なのは、どのサービスを使うかだけではありません。

 

誰が、どのフォルダに、どの権限でアクセスできるかです。

 

閲覧だけでよい人に編集権限がある。外部共有リンクが残っている。退職者が共有先に残っている。

 

ここを見ないと、クラウド利用は安定しません。

 

 

まず確認すべきこと

 

 

クラウド利用を整理するなら、最初に見るべきなのは次の項目です。

 

  1. 会社として利用を許可しているクラウドサービス
  2. 部署ごとに実際に使っているSaaS
  3. 重要ファイルの保管場所
  4. 外部共有リンクの運用
  5. 退職者・異動者の共有解除
  6. 管理者アカウントの所在
  7. 個人アカウント利用の有無

 

ここを確認すると、「禁止すべきもの」と「会社として正式に整えるべきもの」が見えてきます。

 

 

自社だけで進めると詰まりやすいところ

 

 

クラウド利用整理で難しいのは、現場の便利さと管理のバランスです。

 

厳しすぎると抜け道が増えます。

 

緩すぎると情報が散らばります。

 

だから、ルールを作るときは、

 

  • どのデータならクラウドに置いてよいか
  • 外部共有してよい条件は何か
  • 個人アカウント利用をどう扱うか
  • 管理者は誰か
  • 退職時に何を解除するか

 

を業務に合わせて決める必要があります。

 

一般論のルールをそのまま貼っても、現場で使われなければ意味がありません。

 

 

まとめ

 

 

クラウドは危ないから禁止する。

 

その判断が必要な場面もあります。

 

ただ、禁止だけでは現場の業務は止まりません。

 

安全な正規ルートがなければ、現場は見えない抜け道を使います。

 

クラウド利用で必要なのは、禁止ではなく、見える形で使わせる設計です。

 

 

 

もし「これ、うちも同じだな」と思ったら

 

 

今回書いたような、

 

  • クラウド利用を禁止しているが、現場では使われていそう
  • Google DriveやDropbox、LINEにファイルが散らばっている
  • 外部共有や退職者の共有解除を管理できていない

 

こういった相談も受けています。

 

相談では、

 

  • 社内のSaaS・クラウド利用状況の棚卸し
  • ファイル共有ルールと権限管理の整理
  • 現場で使えるクラウド利用ルールの作成

 

といったところから、現状整理と優先順位づけを一緒に進めることが多いです。

 

高額なツール導入を前提にせず、今ある環境から無理なく整える進め方を重視しています。気になったら、まずは状況整理だけでも声をかけてもらえればと思います。

ランサム対策で最初に買うべきものはEDRではなく復旧手順だと思う

ランサムウェア対策の相談を受けると、最初に製品名の話になることがあります。

EDRを入れた方がいいのか。

バックアップ製品を変えた方がいいのか。

監視サービスを契約した方がいいのか。

もちろん、製品は大事です。

ただ、中小企業で最初に見るべきものは、そこだけではありません。

止まった業務を、誰が、どの順番で、どう戻すのか。

ここが決まっていない会社は、どんな製品を入れても事故時に混乱します。

 

この記事について

 

Growth Securityでは、中小企業のDX・業務改善・セキュリティについて、ツール導入の前段にある「判断・整理・設計」を支援しています。

この記事も、現場で実際に起きていることをベースに整理しています。

 

はじめに

 

ランサムウェアは、感染そのものも怖いです。

ただ、経営上もっと怖いのは、業務が止まったあとに判断できないことです。

 

  • どのシステムから復旧するのか
  • 顧客にはいつ連絡するのか
  • 取引先への報告は誰がするのか
  • バックアップは本当に戻せるのか
  • 従業員には何を指示するのか

 

このあたりが決まっていないと、初動で時間を失います。

 

先に結論

 

 

ランサム対策で最初に買うべきものはEDRではなく復旧手順だと思うの要点を整理した図解

 

ランサム対策で最初に整えるべきなのは、製品ではなく復旧手順です。

正確に言えば、製品を買う前に次の4つを確認した方がいいです。

 

  • 重要業務は何か
  • 止まったらどの順番で戻すか
  • 誰が復旧判断をするか
  • バックアップから本当に戻せるか

 

ここが曖昧なまま製品だけ入れると、「検知はできたが、その後どうするか分からない」状態になります。

 

中小企業で起きる典型パターン

 

 

1. バックアップを取っているだけで安心している

 

バックアップは重要です。

ただ、バックアップがあることと、復旧できることは別です。

取得先、保存期間、復旧手順、復旧にかかる時間、戻した後の確認。

ここまで見ないと、事故時に使えるバックアップかどうか分かりません。

 

2. 重要業務の順番が決まっていない

 

全システムを同時に戻せる会社は多くありません。

だからこそ、順番が必要です。

受注、請求、顧客対応、勤怠、メール、ファイル共有。

どれが止まると事業影響が大きいのかを決めておかないと、事故時に声の大きい部署から対応することになります。

 

3. 連絡先と判断者が決まっていない

 

技術的な復旧だけではなく、連絡も重要です。

社内、取引先、顧客、委託先、保守ベンダー、場合によっては警察や専門機関。

誰が、どこに、どのタイミングで連絡するのか。

これを決めていないと、復旧作業と説明対応が同時に発生して、現場が詰まります。

 

まず確認すべきこと

 

最初に見るべきなのは、次の項目です。

 

  1. 止まると困る業務の一覧
  2. 重要システムとデータの保管場所
  3. バックアップの取得状況
  4. 復旧テストの実施有無
  5. 事故時の判断者
  6. 社内外の連絡先
  7. 復旧まで手作業で代替できる業務

 

これらを1枚に整理するだけでも、事故時の動きは変わります。

 

自社だけで進めると詰まりやすいところ

 

ランサム対策は、情シスだけの話にすると詰まります。

なぜなら、復旧の優先順位は技術ではなく経営判断だからです。

メールを先に戻すのか。受注システムを先に戻すのか。請求処理を先に戻すのか。

この判断は、事業影響を見て決める必要があります。

また、バックアップの復旧テストも、現場業務とセットで確認しないと意味がありません。

システムは戻ったが、現場が使えない。

これでは復旧とは言えません。

 

まとめ

 

ランサム対策で製品を入れることは大事です。

でも、最初に必要なのは「検知できるか」だけではありません。

止まった業務を、誰が、どの順番で、どう戻すのか。

ここが決まっている会社は、事故時の混乱をかなり減らせます。

ランサム対策は、買う前に戻す順番を決めるところから始まります。

 

もし「これ、うちも同じだな」と思ったら

 

今回書いたような、

 

  • バックアップはあるが、復旧できるか確認していない
  • ランサム時に誰が判断するか決まっていない
  • 重要業務の復旧順序を整理できていない

 

こういった相談も受けています。

相談では、

 

  • 重要業務とシステムの棚卸し
  • バックアップと復旧手順の確認
  • 事故時の連絡先・判断者・初動手順の整理

 

といったところから、現状整理と優先順位づけを一緒に進めることが多いです。

高額なツール導入を前提にせず、今ある環境から無理なく整える進め方を重視しています。気になったら、まずは状況整理だけでも声をかけてもらえればと思います。

 

参考

 

 

 

MFAを入れたのに、なぜアカウント乗っ取りが不安なのか

多要素認証、いわゆるMFAを入れる会社は増えています。

これはとても良い流れです。

ただ、現場ではこういう相談もあります。

「MFAは入れたんですが、本当にこれで大丈夫なんでしょうか」

この不安は、かなり正しいです。

なぜなら、MFAは重要ですが、MFAだけでID管理が完成するわけではないからです。

 

この記事について

 

Growth Securityでは、中小企業のDX・業務改善・セキュリティについて、ツール導入の前段にある「判断・整理・設計」を支援しています。

この記事も、現場で実際に起きていることをベースに整理しています。

 

はじめに

 

MFAを入れると、ログイン時に追加確認が入ります。

パスワードだけの状態より、アカウント乗っ取りのリスクは下がります。

ただ、会社の中を見ていくと、MFAの外側にリスクが残っていることがあります。

 

  • MFAが一部のサービスにしか入っていない
  • 管理者アカウントだけ例外扱いになっている
  • 共有アカウントが残っている
  • 退職者のアカウントが残っている
  • 外部委託先のアカウント管理が曖昧

 

この状態だと、「MFAを入れたのに不安」が残ります。

 

先に結論

 

 

MFAを入れたのに、なぜアカウント乗っ取りが不安なのかの要点を整理した図解

 

MFAは入口の強化です。

でも、会社として本当に見るべきなのは、入口だけではありません。

誰が、どのサービスに、どの権限で入れるのか。

ここまで整理して初めて、MFAが効きます。

逆に、ID管理が曖昧なままMFAだけ入れると、対策した気にはなりますが、例外部分にリスクが残ります。

 

MFAを入れても不安が残る理由

 

 

1. 対象外のアカウントがある

 

よくあるのが、主要サービスにはMFAを入れたが、それ以外のSaaSには入っていないパターンです。

会計、勤怠、ファイル共有、チャット、営業管理、プロジェクト管理。

中小企業でも、使っているクラウドサービスはかなり多いです。

攻撃者から見ると、MFAが入っていない入口が1つ残っていれば、そこが狙い目になります。

 

2. 管理者アカウントが例外になっている

 

管理者アカウントは、最も守るべきアカウントです。

ところが、設定変更の都合や緊急時対応のために、管理者だけ例外扱いになっていることがあります。

これはかなり危ないです。

管理者アカウントを取られると、一般ユーザーより大きな範囲に影響します。

 

3. 共有アカウントが残っている

 

部署共通のID、店舗共通のID、外部業者と共有しているID。

こういうアカウントは、MFAとの相性が悪いです。

誰のスマホで認証するのか。誰がログインしたのか。退職者が知っているパスワードはどうするのか。

ここが曖昧なままでは、MFAを入れても運用で崩れます。

 

まず確認すべきこと

 

MFAを導入済みの会社でも、次の項目は確認した方がいいです。

 

  1. MFAが入っているサービスと入っていないサービス
  2. 管理者アカウントの一覧
  3. 共有アカウントの有無
  4. 退職者・異動者のアカウント削除フロー
  5. 外部委託先アカウントの管理方法
  6. 緊急時用アカウントの保管・利用ルール

 

MFAの設定画面だけ見ても、全体像は分かりません。

社内で使っているID全体を見ないと、抜け道が残ります。

 

自社だけで進めると詰まりやすいところ

 

MFA導入で難しいのは、設定そのものより例外処理です。

 

  • スマホを持っていない従業員はどうするか
  • 端末を紛失したとき誰が復旧するか
  • 退職者の認証情報をどう消すか
  • 外部委託先にMFAを求めるか
  • 管理者アカウントのバックアップ手段をどうするか

 

ここを決めずに進めると、現場から「使いにくい」「ログインできない」が増えます。

結果として、せっかく入れたMFAが例外だらけになります。

 

まとめ

 

MFAは、アカウント保護の重要な一歩です。

ただし、MFAだけではID管理は完成しません。

誰が、どのサービスに、どの権限で入れるのか。

共有アカウント、管理者権限、退職者対応、外部委託先まで含めて整理して初めて、MFAは効きます。

MFAはゴールではなく、ID管理を整える入口です。

 

もし「これ、うちも同じだな」と思ったら

 

今回書いたような、

 

  • MFAを入れたが、対象範囲に不安がある
  • 管理者アカウントや共有アカウントが整理できていない
  • SSOやIDaaSを入れる前に何を確認すべきか分からない

 

こういった相談も受けています。

相談では、

 

  • 社内SaaSとアカウントの棚卸し
  • MFA/SSOの対象範囲の整理
  • 管理者権限、共有アカウント、退職者対応フローの点検

 

といったところから、現状整理と優先順位づけを一緒に進めることが多いです。

高額なツール導入を前提にせず、今ある環境から無理なく整える進め方を重視しています。気になったら、まずは状況整理だけでも声をかけてもらえればと思います。

【与太話】家族のスマホ設定を見て思うこと

週末なので、少し雑談です。

家族のスマホ設定を見ることがあります。

アプリの通知が多すぎるとか、写真の保存容量がいっぱいとか、なぜか同じアプリが何個も入っているとか。

そういうものを見ていると、スマホの設定は、思っている以上に難しいなと感じます。

 

 

 

この記事について

 

今日は企業向けの堅い話ではありません。

ただ、家族のスマホ設定を見ていると、会社のIT管理にも似た話があるなと思います。

本人が悪いというより、設定項目が多すぎて、普通に使っているだけでは管理しきれないのです。

 

 

 

はじめに

 

スマホは、今ではかなり重要な道具です。

連絡、写真、銀行、決済、認証、地図、チケット、仕事の連絡。

人によっては、パソコンより大事な情報が入っています。

それなのに、設定はかなり複雑です。

 

  • Apple IDやGoogleアカウント
  • パスコード
  • 生体認証
  • バックアップ
  • アプリの通知
  • 写真の同期
  • 位置情報
  • アプリごとの権限
  • サブスク管理
  • 機種変更時の引き継ぎ

 

これを全部、普通の人が自力で正しく管理するのは、なかなか大変です。

 

先に結論

 

家族のスマホ設定を見て思うのは、セキュリティは本人の注意力だけに頼ると厳しい、ということです。

もちろん、本人が気をつけることは大事です。

でも、通知が多すぎる、確認画面が多すぎる、設定の場所が分かりにくい、言葉が難しい。

こうなると、だんだん全部「はい」で進めるようになります。

これは会社でも同じです。

ルールが多すぎると、現場は読みません。

警告が多すぎると、誰も警告を見なくなります。

 

スマホ設定でよく気になること

 

 

1. 通知が多すぎる

 

通知が多いと、大事な通知が埋もれます。

家族のスマホを見ていると、アプリからのおすすめ、キャンペーン、ニュース、リマインドが大量に来ていることがあります。

その中に、認証通知や不正ログインの通知が混ざっても、気づきにくくなります。

セキュリティの前に、まず情報量が多すぎるのです。

 

2. アプリの権限がそのままになっている

 

カメラ、マイク、写真、連絡先、位置情報。

アプリを入れるときに許可したまま、あとで見直すことはあまりありません。

悪意のあるアプリだけでなく、普通のアプリでも、必要以上に権限が広いことがあります。

ただ、これも本人だけを責めるのは難しいです。

最初に許可を求められたとき、その権限が本当に必要かどうかを判断するのは、意外と難しいからです。

 

3. バックアップできているか分からない

 

スマホで一番困るのは、なくしたときや壊れたときです。

写真、連絡先、認証アプリ、LINE、メール、決済アプリ。

何が戻って、何が戻らないのか。

普段はあまり意識しません。

でも、壊れてから確認すると、だいたい遅いです。

 

家族のスマホと会社のITは少し似ている

 

家族のスマホ設定を見ていると、会社のIT管理に似ているところがあります。

 

  • 使う人は、設定の専門家ではない
  • 必要なアプリがどんどん増える
  • 通知や警告が多すぎると見なくなる
  • 初期設定のまま使い続ける
  • 困ったときにだけ設定を見る

 

これは会社のSaaSや業務端末でも同じです。

使う人に完璧な判断を求めるより、最初から迷いにくい状態にしておく方が現実的です。

 

家族にやるならこのくらい

 

家族のスマホを見るとき、細かい設定を全部説明しても、たぶん覚えきれません。

だから、やるならこのくらいで十分だと思っています。

 

  1. 画面ロックを設定する
  2. OSアップデートを確認する
  3. 写真や連絡先のバックアップを確認する
  4. 使っていないアプリを消す
  5. 重要アプリのログイン方法を確認する
  6. 認証アプリやSMSが使えなくなった時の戻し方を見る

 

このくらいでも、かなり安心感は変わります。

全部を完璧にするより、困ったときに詰まらない状態にしておく方が大事です。

 

おわりに

 

家族のスマホ設定を見ると、便利さと難しさが一緒に増えているなと思います。

スマホは簡単に使える道具ですが、安全に使い続けるための設定は、決して簡単ではありません。

だから、使う人が悪いというより、仕組みとして分かりにくい部分が多いのだと思います。

週末の与太話としては、スマホ設定を見るたびに、会社のITも家庭のスマホも、最後は「人が迷わない状態を作ること」が大事なんだろうなと感じます。