IT業界の裏話

あなたがビジネスパーソンであれ、学生であれ、誰かに見てもらうための資料を作るのであれば、ぜひ、これから書くことを意識してほしいのです。

というのも、ここのところ立て続けに「どうしてこうなった？」と頭を抱えてしまう資料に出会ってしまったからです。いずれの資料も、言いたいことはなんとなく分かりますし、こちらに求めていることもそれとなく分かりました。でも、それらの資料は私が分かっただけでは十分ではなくて、部長や役員などの意思決定ができる人にも納得してもらう必要があったのです。そして、そうした肝心の人たちには納得してもらえませんでした。

どうして自分の言っていることを受け入れてもらえないのでしょう。説明する直前までは、「この資料で説明すれば納得してもらえる」という可能性を考えていたわけですよね。

でもダメだった。原因はいくつかあるでしょう。

■原因A：
「運が悪かった」

まれにこういうことはあります。相手の機嫌が悪くて、何を言っても「No」と反応される。こういうときはどうしようもありません。また、相手の都合がよく変わり、全然説明する時間がなかったということもあります。対処方法はあるものの、資料そのものが悪かったわけではありません。

■原因B：
「もう決断された後だった」

相手が心づもりを決めてしまったのなら、どんなに分かりやすい資料を用意しても説得は困難です。これも資料自体が悪かったわけではありません。

■原因C：
「資料の情報が足りなかった」
「自分の考え方が浅かった」
「相手の理解力が足りていなかった」
その他もろもろ

上記２つ以外は、資料作成のやり方に問題があったからです。相手の理解力云々で愚痴を言いたくなる場面もあるでしょうが、それもあなたの作る資料の構成次第で改善が見込めます。少なくない人がこの原因を軽視したり、対策を見誤っていますが、勘違いをしてはいけません。大半はあなたの「準備不足」や「一方的な考え方」によって引き起こされているものです。根本的な資料作成の段取りを見直すべきです。

最初に触れた「どうしてこうなった？」と思ってしまう資料は、すべて原因Cによる失敗でした。でも、これら原因は、資料作成の一番最初にやるべきことを押さえておけば、多くを避けることができます。それをやっていないために資料の作り直しで無駄な時間を費やす人たちをここ最近多く見てきたので、改めて注意を促します。

【資料作成の基本１】
WHO: 誰のためにつくる資料なのかを決める

業務の効率性を高めるＩＴシステムを導入する場合であれば、投資判断をする人は費用と効果の情報を知りたがりますが、実務を担当する人はその使い方と作業の軽減度合を知りたいと考えます。

最終的にその資料を誰に見せるのか、それが決まれば資料の立てつけも決まるのです。

【資料作成の基本２】
WHAT: 何のためにつくる資料なのかを決める

単なる情報共有なのか、相手に意思決定をしてほしいのか、その違いによって資料のつくり方は変わってきます。たとえば、情報共有を目的とした資料は、最初に報告要旨(サマリー)をつけること。その部分だけを読んでも概要を判断できる構成は、読み手の時間を節約するので喜ばれます。

逆の場合もあります。大まかな理解ではなく、細部も把握しておきたいと考える相手であれば、エクセルを使って明細表を用意してあると喜ばれます。

資料を使って相手に何をしてほしいのかを最初に決めておけば、資料フォーマットと内容構成も自然に決まるものです。

【資料作成の基本３】
WHY: 基本１と２の組み合わせが正しいことを確認する

資料を作るのであれば、ねらい（WHAT）に対して最も効果的に行動してくれる相手（WHO）に向けて作るべきです。

たとえば、営業システムの提案だから営業部長向けに提案書を作ったのに、情報システム部長の判断の方が優先されて不採用となったという失敗話は、設定した「ねらい」と「相手」がかみ合っておらず、資料のロジックに妥当性が欠けているために起きます。

資料作成を進めるうちに新しいキーパーソンの存在が判明した場合には、WHOにその人物を含め、資料内容に修正を加えなければなりません。

資料とは、何かを確認したり判断するための材料であり、誰かに活用してもらうために作るものです。

資料作りなんて時間をかける必要はない、業務や議論の中で役に立つ最低限のレベルで十分、そう考える人は多いでしょうし、私もそう思います。しかし、世の中にはその最低限のレベルにさえ達していない資料がとても多いのです。

資料作成で最初にやることは何であるかと尋ねたとき、多くの人は「内容を考えること」だと答える。間違ってはいないが、具体的にどうするのかさらに尋ねると、「パワーポイントを開いて目次を作り始める」、「エクセルを開いて表を作り始める」といった資料そのものを作る行為を述べる人が少なくない。

しかし、この考え方は完全に間違っています。

資料作成に取り掛かった段階で多くの人が経験する非常に残念なトラブルは、作成者の勝手な思い込みで、依頼した側が意図しない形で資料が作成されてしまうことです。
資料作成側の努力によってこうしたトラブルを避けるためには、作成依頼を受けた時点で、「相手に資料を見せる時にはどのような形になっていれば良いか」を確かめておく必要があります。

このエントリーで取り上げた３つの基本を守ってもらえるだけで、相手が歩み寄って理解してくれる資料に近付きます。

まったく複雑なことではありませんが、資料の方向性を決めるこの段取りを疎かにすると、資料の真の読み手との間のズレがどんどん開いていき、やり直しを要求される範囲がぐんぐん拡大していきます。それだけは避けましょう。

参考までに、私が実践している資料作成時のコツをリンク先に列挙しておきます。

『外資系コンサルの資料作成術を鵜呑みにしてはいけない』
→ http://it-ura.seesaa.net/article/403001958.html

私の周りにいる人だけではなく、これから社会人としてビジネスの現場に出てくる新入社員、就活に勤しんでいる学生の方々にもぜひ知っておいてほしいです。そして、少しでも無駄な資料作成の時間を減らして、労働時間を減らしてください。

2016年が始まってから1か月が過ぎ、あと2ヶ月もすれば新入社員がみなさんの会社にも入ってくることでしょう。

学生生活を終えて初めて社会人となる人は数十万人を数えます。転職者であっても、前職がIT業界とは異なる人だってたくさんいます。そうした人たちにはIT業界の常識はまだ通じません。

多くのフレッシュマンがIT業界特有のカルチャーに戸惑い、悩むことでしょう。そんな彼らに向けた応援メッセージをTwitterで見つけてしまったので、いくつか紹介しておこうと思います。

ハッシュタグは「#IT業界の新人君に毎年アドバイスすること」というド直球なネーミングです。※タグ名が長すぎて言いたいことが入り切らないものも・・・
https://twitter.com/search?q=%23IT%E6%A5%AD%E7%95%8C%E3%81%AE%E6%96%B0%E4%BA%BA%E5%90%9B%E3%81%AB%E6%AF%8E%E5%B9%B4%E3%82%A2%E3%83%89%E3%83%90%E3%82%A4%E3%82%B9%E3%81%99%E3%82%8B%E3%81%93%E3%81%A8&src=tyah

『ググッて一番上にヒットしたからといって決して「ﾅﾝﾄｶ知恵袋」「教えてﾅﾝﾄｶ」は信じるな！！』
『先輩の助言は疑うべし。もちろんこの助言も』
→困ったことを調べて最初に出てくるのが知恵袋系のサイトってよくあります。多くの教えて系サイトは投稿データが共有されているので、同じ質問がいろんなところのサイトから引っかかるのが分かりづらいですね。そして、並んでいる回答も「オレはちょっとだけお前よりも知っている」くらいの人によるものが多く、その助言に従った結果、「生兵法は大怪我の基」という格言を思い知る経験を存分に味わえると思います。今なら「Teratail」が絶賛好評中ですが、ITに特化している分、まだ回答の質は高め。

ちなみに、会社の先輩の助言であっても、あなたよりたかだか1年しか経験を積んでいない人程度なら、知識に漏れがたくさんあるから、鵜呑みにはしない方がいいですよ。

『とりあえず英語の読解はできるようになっとけ…』
『TOEICスコアも割とどうでもいい』
→文献は基本的に英語で書かれているものがオリジナルですし、英語ベースのQAやFAQが多いので、高校卒業レベルの英語読解力と単語力が必要です。でも、テクニカルサポートの人とメールでやりとりするくらいなら、中学英語とIT用語だけで十分。だって、電話の先はフィリピンかインド。ブロークンイングリッシュでも全然平気です。

『月に休み1日しかとれないとこはとっとと辞めていいよ』
→初めて入った会社がこういう組織だと、それが世の中の常識なんだと思ってしまう人もいます。まさに生まれた直後のヒヨコ。しかし、ひよっこであっても、月１の休みしか取れないことが異常であることは感じ取ってもらいたい。

ちなみに、週休2日を謳っているIT企業の中には、年末年始やお盆も同じ条件(土日以外は出社)だとしているところもありますし、年末年始は必ず出社というインフラ系プロジェクトもあります。これ、マメな。

『要望に対して「できないこと・難しいこと・時間のかかること」は早めに言おう』
『どれくらいで出来るか聞かれたら、予想より1.5倍ぐらい多めに言っておけ』
『残業、休出前提で仕事しないこと。定時で帰ること』
『CCにも「無関係ではない誰か」を入れて証拠保全は万全にしておけ！』
→なんでも安請け合いされて、納期直前で「間に合いません」が一番最悪なパターンですね。システムは個々の機能が組み合わさって成り立っていますから、一部機能が間に合わないだけで影響甚大。予定通りに進まないことが分かった時点で先輩や上司に相談してください。そもそも、残業前提で予定は組まない方が身のためです。ときどき新人の工数をベテラン級でカウントするあくどいプロジェクトがありますが、そのときはみんなでデスマーチを満喫しましょう。

それから、報告・連絡・相談する時には証拠を残すために、メールのCCに誰かを必ず入れておきましょう。さもないと、相談自体をもみ消されることがあります。

『何で教えられて無えのに勝手に作業するんだよ！！』
『常駐先で起こしたミスで、翌日に常駐先から全員消えて自社滅亡へのカウントダウンが始まる可能性がある』
→良かれと思ってやったことが、実は大間違いだったということがITの世界ではよくあります。それがセキュリティホールやバグの温床となってしまったら、取り返しがつきません。公共系や金融系のシステム開発では、これが発覚したら社会的ペナルティを課されることもあります。

でも、それ以外の業界だと、「そんなことも聞かないとわかんないの？」と言ってくる人もいるんですよね。特にWeb業界ね。

『客先で起きた不具合はだいたい開発環境では再現しない』
→クライアントの環境が特異過ぎて、自社の開発環境では再現できないことがよくあります。なにせ、クライアント内のネットワークであっても、開発環境と本番環境で構成が異なるケースは当たり前なのですから、そりゃ仕方ないです。頑張ってログから再現条件を見つけるしかありません。

バグが再現するまで調査を繰り返し要求してくる几帳面なクライアントもいますが、どうしても再現しない＆それでも納得してくれない場合には、適当に理由をでっちあげてしまう人もいます。まあ1年以上も継続調査してるのに再現しないんだから、そうしたくなる気持ちも分かりますけどね。

『トイレは寝てるかスマホ見てるやつがいて空いてない事が多い。これやってからトイレ行こうじゃなくて、早めに行け』
『お昼休みは昼寝の時間なので起こさないでください』
→システム開発の現場に行くと、トイレの個室が埋まっている率に驚くと思います。みんなそれだけ余裕のない生活をしているんですよね。えっ、単に夜更かしで録画した海外ドラマや深夜アニメを見ているから寝不足になっているだけですか？それともネトゲ？そんなに眠いなら昼寝をすればいいのに…ということで、健全なベンダーでは昼休みに寝ています。

『青い銀行の案件には関わるな』
→これが何のことを指しているのか分かるくらいなったら、あなたもIT業界の一員ですよ。

大学卒業を控えた若きIT業界人の皆さん、先人の教えを是非参考にし、彼らの屍を越えて新しい歴史を築き上げてください。

これまでに何万枚もの資料を作成してきましたが、「この資料は見た目がクールだ！」と実感できる、見ているだけでワクワクするものを作れたときには、ステークホルダーからあっさりと期待通りの結論を得ることができていました。

一方で、「なんだか見た目が気に入らない」と思う資料を使っての説明は、いつも苦戦しながらだったように思えます。

その理由を自分なりに考えてみると、良い結果・悪い結果の分かれ目は「その資料にときめきを感じるかどうか」でした。たしかに、見た目が美麗・すっきりまとまっているといった資料が目の前に出てきたら、「分かりやすい資料かも？」とポジティブなバイアスで捉えてしまう人が多いでしょう。

数年前に「ときめき」をキーワードにした片づけ術が世を席巻しましたが、仕事における資料作成でも「ときめき」がカギになる場面があるなぁ、と改めて認識した次第です。

そこで、私がこれまで実践してきた資料作成の王道手法の中から、「ときめく資料」を作成するために使えるテクニックをまとめておこうと思います。

【ときめく資料の王道】＃１ カラー

ときめく資料になるかどうかの80％（個人的感想）はカラーで決まります。

たとえば、以下のリンク先にあるパワーポイントを見てください。フォントカラーを濃緑色に統一して作成されたスライドです。これの表紙スライドだけを見て、あなたはワクワクできるでしょうか。

それではこのスライドの表紙を見て、あなたはワクワクできるでしょうか。

私は後者の方がワクワクできました。多くの人もそうだと思います。一見するとフォントや文字の配置が原因だと思えたりもするのですが、実際に上記のスライドの文字が１つめに取り上げたスライドで使われた緑色であったら、と想像してみてください。

※色を変更したバージョンのアップは省略します

なぜ色使いだけで感じ方に大きなインパクトがあるのか。それは、最初のスライドが「混色系」で、次のスライドが「顕色系」で描かれているからです。

混色系は、Web上での色指定でおなじみのRGB形式（色を全部足すと白）や、印刷時のプリンタインク指定で登場するCMY形式（色を全部足すと黒）があります。

一方で顕色系には、マンセル表色系などがよく知られています。これらの色の違いとそのインパクトについては以下のスライドが詳しく説明していました。

フォントの設定や図形・グラフの使いこなし、余白やレイアウトの工夫も重要ですし、一般的なビジネス資料を作るだけなら、まずそちらから定石を学んだ方が良いと思います。

ですが、まずは色使いを理解するところから入った方が「ときめく」資料を作る早道だとだと私は考えます。それほどまでにカラー設定の違いから受けるワクワク感のあり無しは大きい、というのが個人的感想です。

ちなみに、パワーポイントなどのオフィス製品ではRGB形式で色を指定するしかありませんから、マンセル表色系をなんとかRGB形式に変換しなければ使いこなすことができません。

これについては以下のサイトが変換表を公開されているので、参考にしてみることをお勧めします。

『マンセル色見本表(マンセル表色系)一覧表』
http://www9.plala.or.jp/minordaimyo/mcs.html

問題です。

IBMという企業はどんな事業を有しているでしょうか？
以下から当てはまるものを全て選んでください。

（１）PC事業
（２）プリンタ事業
（３）サーバー事業
（４）ネットワーク事業
（５）POS事業
（６）メインフレーム事業
（７）ストレージ事業
（８）ソフトウェア開発事業
（９）システム構築(SI)事業
（10）コンサルティング事業
（11）アウトソーシング事業
（12）コールセンター事業
（13）金融事業

IT業界に身を置く人間であれば、そんなに難しくない問題だと思いますが、非IT業界人にとっては分かりづらいのかもしれません。というのも、こんな記事を見つけてしまったからです。

『業績低迷が続くibmに求められる「変革」』
http://www.iforex.jpn.com/news/%E6%A5%AD%E7%B8%BE%E4%BD%8E%E8%BF%B7%E3%81%8C%E7%B6%9A%E3%81%8Fibm%E3%81%AB%E6%B1%82%E3%82%81%E3%82%89%E3%82%8C%E3%82%8B%E3%80%8C%E5%A4%89%E9%9D%A9%E3%80%8D-2467

FX事業会社のニュース記事ですが、思わず驚愕の内容に目を見開いてしまいました。その記述がこちら。

「IBMの業績が低迷しているのはIBMのせいばかりではなく、ドル高のためでもある。IBMは世界各国で製品を販売しており、海外の売上がドル高のために米ドル建てにすると目減りしている。」

なるほど。

「ただ為替以外の要因として、やはりIBMのこれまでの主力事業だったパソコンの需要が少しずつ落ち込んでいるのが大きい。2010年代に入ってスマホやタブレットが普及してきたため、パソコンの需要が頭打ちから減少に転じている。」

ん？

「IBMと聞けば、多くの人はパソコンのハードを思い浮かべるだろう。IBMはそれだけコンピューターのハードに力を入れてきたが、今回の決算におけるハードウェア部門の売上は、32％減だった。」

んん？

「パソコンが世界から消えることは当分ないが、パソコンが主流だった時代は終わりに近づきつつある。これからはスマホやタブレットが個人向けコンピューターの中心となり、その時代に合わせてIBMのビジネスモデルも変わることが必要になってくる。」

これらのコメントの何がおかしいのか、分からない人のために冒頭の問題に立ち戻ってみます。

まず、IBMの歴史から。IBMは1911年に立ち上がり、1924年から「International Business Machines」という名称を用い始めました。IBM社は2011年を創立100周年として記念サイトをオープンしているので、1911年からIBMが始まったと考えてよいでしょう。

『IBM 100年の軌跡』
http://www-03.ibm.com/ibm/history/ibm100/jp/ja/stories/

1914年12月、トーマス・ワトソン Sr.（Thomas Watson Sr.）は、C-T-R（Computing-Tabulating-Recording）社の部門責任者を初めて全社的に招集しました。C-T-R社は、1911年に、いくつかの合併を経て設立された企業で、1914年5月、経営者として迎えられたワトソンは、その小さなまだまとまりのない複合企業を、1924年に最終的にIBMと改名する企業へと再構築したのです。

その後、1947年から現在の会社ロゴとほぼ同じものを使用し始め、パンチカード事業、タイプライター事業からコンピューター開発事業へと軸足を移し始めます。その後、メインフレーム事業、ネットワーク事業、サーバー事業と規模を拡大し、80年代には出遅れていたPC事業にも本腰を入れ始めます。Windows95が発売された90年代半ばから後半は、日本でもAptiva（アプティバ）という名前のPCをSMAP香取慎吾が宣伝していたことを覚えている人もいるでしょう。

『【CM】IBM Aptiva 香取慎吾 アンディ・フグ（1996年）』
https://www.youtube.com/watch?v=0WGKuhEhMts

90年代にIBMは「選択と集中」のポリシーに従って、タイプライター事業・ネットワーク事業を売却しています。これは、他社との差別化が果たせなくなった非コア事業を切り離すことで収益性を高める戦略でした。

2002年にはプライス・ウォーターハウス・クーパース・コンサルティング（PWCC）を買収し、IBMビジネスコンサルティングサービス（IBCS）を経てコンサルティング事業を強化しました。合わせて、システム構築事業、アウトソーシング事業が強化されています。

しかし、ついにPC事業も非コアに分類され、2004年にLenovo（聯想集団有限公司）への売却を判断します。看板商品だったThink PadのIBMロゴは、2008年の北京オリンピックまでにLenovoロゴへ完全に切り替わりました。また、その少し前にHDD事業を日立へ売却しています。2006年にはプリンタ事業をリコーへ、2012年にはPOS事業をTECへ、2013年にコールセンター事業をSynnexへ、そして2014年にサーバー事業をLenovoへ売却しました。

ということで、冒頭に列挙した13事業のうち、残ったのはこれだけ。

（６）メインフレーム事業
（８）ソフトウェア開発事業
（９）システム構築(SI)事業
（10）コンサルティング事業
（11）アウトソーシング事業
（13）金融事業

この結果、一時は世界最大の企業と呼ばれたIBMもAppleやGoogleの後塵を拝しています。これだけ事業をスリム化したのですから、それも当然でしょう。

さてさて、ここでようやくこのエントリーで言いたかったことに到達します。

エントリー前半で取り上げたFX事業会社のニュース記事にあった「スマホ隆盛の時代だからパソコン事業がダメージを受けたIBMは売り上げを減らしている」というロジック、ここまでIBMの歴史を学んできた皆さんなら、その不自然さに気づきますよね？

IBMへの理解を改めて深めたい人は、途中で紹介したIBM創立100周年サイトをご覧ください。アポロ計画の話、フロッピーディスクの話、人工知能Watsonの話など、新しい発見がきっとたくさん見つかります。

仕事をすることの意味を考えたことはありますか？

私たちは普段、仕事という言葉と作業という言葉を同じ意味で使っていると思います。辞書を調べてみると、両者とも似たようなことが書かれているため、なおさら同じ意味で考えてしまいそうです。

でも、本当にそうなのでしょうか。

次の２つの例を考えてみましょう。

『Ａさんは上司から、下期の経営課題を解決するために必要となる社内システムの改修費用算出を命じられました。』

『Ｂさんは上司から、上期の経営課題のうち、解決しなかったものをリスト化して提出するよう頼まれています。』

さて、ＡさんとＢさんに与えられたタスクについて、何か違いが分かりますか？

Ａさんのタスクは、所与の条件である下期経営課題を基にして、システムに求められる追加機能やその費用を、”自分で考えながら”まとめていかなければなりません。Ｂさんのタスクは、所与の条件である上期経営課題に対し、それをまとめるだけ、つまり”自分で考えず、与えられた指示に従って”まとめていけばいいだけです。

私は、Ａさんのやっていることを「仕事」、Ｂさんのやっていることを「作業」だと認識しています。仕事は、その背景にある内容を積極的に理解しながら、新たな価値創出に取り組むものです。それに対し、作業とは、与えられた指示に沿って何かを行うことを意味します。

作業はどんな職場でも必ず発生するものですから、それ自体を否定するつもりはありません。注意しなければならないのは、本来「仕事」であるべきものが「作業」と化していないかということです。

作業と化した仕事は、その成果も薄っぺらで、指示内容を逸脱する状況が発生しても対応することができませんが、本当に仕事をしているなら、指示内容の背景も理解して取り組んでいるはずですから、不測の事態にも臨機応変に対応できるものです。

ここまでの話は10年前にブログでまとめたものですが、最近読み直したとき、ふと「英語で仕事と作業の違いはどう説明するのだろう」と思いまして、ちょっと調べてみました。

ぱっと思いつく範囲でWork、Job、Taskといった単語が浮かんできますが、はたしてどのワードが適切でしょうか。

Web上で調べてみると、作業＝Work、仕事＝jobだという話がありました。あなたの職業がシステムエンジニアで今は資料を作成をしているとしましょう。「What's your work now？」という質問と「What's your job now？」という質問、その答えを考えてみると、前者は「資料作成」で後者は「システムエンジニア」になるからだ、というロジックです。

しかし、よく考えてみると、今やっている内容がもっと価値創出に直結するものであればWorkだって仕事と同義になります。

また別のサイトでは、作業＝Taskで仕事＝Jobだと説明しているところもありました。たしかにTaskには作業をイメージを想起させる表現がありますが、任務や課題という意味合いも備えており、やはり作業という意味で固定的に捉えることは難しいです。

他のサイトでは仕事＝Workと考え、広範な仕事を表す言葉はWorkであるとの説を述べていたりもしました。

人によって単語の捉え方が違うということは、英語では仕事と作業を一言で分類するのは難しいということなのでしょうか。気になったので、外国人の同僚に聞いてみました。

結論としては、作業の単位が当てはまるのはTaskという表現だが、Taskには仕事という意味も含まれるため、ワンワードで使い分けるのは難しいということです。また、Taskを複数集めた範囲の内容をWorkと表現するため、WorkとTaskの違いは仕事の範囲の大きさの違いでしかないそうです。たとえば、WorkはシステムエンジニアでTaskはDB設計という具合です。

つまり、最初に示した「仕事と作業」を英語で説明するならば、Taskに関する捉え方の違いを説明することになり、決してWorkやJobやTaskという表現を比べることにはならないのです。

Taskの中でも肉体的に苦労する作業をLaborと表現しますが、単純作業全般を意味するものではありません。また、定型作業の英語表現でRoutine Workというものがありますが、定型以外の作業にはWork以外にTaskもLaborも含むことができるため、やはりWork＝作業とするのは強引ですね。

振り返ってみると、「仕事」と「作業」に異なる意味を持たせて教育している日本というのは、こういった精神的な成長を促すものが多いな、という気がしました。ストイックな社会であるほど、こうした傾向は強いのでしょうか。さらに踏み込んで調べてみたいです。

日本年金機構の職員が利用するPCにウイルスが感染していたことで、年金情報が大量流出しました。セキュリティに対する組織の体制、カルチャー、職員の意識に対する問題がさまざまなところで取り上げられています。

・日本年金機構の情報漏えいについてまとめてみた
http://d.hatena.ne.jp/Kango/20150601/1433166675

簡単に述べると、巧妙な文面とあからさまに怪しい差出人メールアドレスを持つメールの添付ファイルを多数の職員がクリックしてしまい、年金記録から年金番号・住所・氏名・生年月日が外部へ流出してしまった、という事件です。

このアタックを仕掛けたのはどこなのか明らかにはなっていませんが、利用されたのは「クラウディオメガ」という、一太郎の脆弱性を突いたクラッキング手法です。

・クラウディオメガ：リモートでコードが実行可能となる「CVE-2014-7247」
http://www.justsystems.com/jp/info/js14003.html

すでにいくつかの対策が実行されており、なかには「外部とのメールを禁止する」という驚きのアクションも含まれていたりします。

本件に関する問題究明は継続されるでしょうし、じつは他の省庁から同種の手口で防衛情報が漏えいしている事案が発生していることが6月7日現在で明らかになっていますが、これらの論点は技術的仕様ではなく、ITを運用する側、利用する側の意識や使い方になると思います。

そこでこれらに絡んで、ITの現場にいる立場から、いい加減になんとかした方が良いと思うことをメモしておきます。

●自動解凍型の暗号化ファイル(exe形式)を使う

これはそろそろやめてほしいです。たとえば、日立が提供している「秘文」というセキュリティ製品を使って文書ファイルを暗号化すると、exe形式の自己解凍型ファイルが作成できます。特定パスワードを入力しないと中のファイルを取り出せない仕組みではありますが、そもそもexe形式のファイルは最近のメールフィルタリング機能で自動排除されてしまいます。

ですから、秘文などを利用している企業では、拡張子を「ex_」などと書き換えてファイルを添付すると受信できる仕様にセキュリティレベルを弱めていたりするのですが、せっかくのセキュリティレベルを敢えて下げるくらいなら、最初から秘文を使わない方が良いでしょう。

メールという脆弱な送信手法を選ぶしかない中で、S/MIMEのような電子証明書を必要とするやりとりが使えないなら、クラウドベースでのファイル送信サービスを利用するか、情報漏れの可能性を許容して、zipに暗号を設定して送る方がよいと思っています。

●パスワード付ファイルとパスワードを別メールで送る

このルールを暗黙の了解にするのはやめてほしいです。クラッキングされているなら、メールを一緒にしても分けても流出リスクは変わりません。別メールにすることで誤送信時のリスクを減らせるという話も聞きますが、パスワードを送るメールは、そもそも誤送したメールへの全体返信になっているケースが大半であるため、セキュリティ効果は微々たるものです。

現状では、他にコストや手間との兼ね合いでマシな方法がないということで、添付ファイルとパスワードの別送信手法はビジネスマナーとして広く教えられているため、マナーを守るという点でこのやり方が使われていますが、内閣サイバーセキュリティセンターでは省庁におけるパスワードのやりとりはメール以外で相手に伝えることを推奨しています。都度、別メールで新しいパスワードを伝えるよりは、電話や対面で共通パスワードルールを決め、それに沿って運用する方がよいのではないでしょうか。

労力の割に効果が乏しいセキュリティ対策、むしろセキュリティを低めている運用が他にもあれば教えてください。