お探しのドロイドは、まさにこれだ

リーダーシップをめぐる、昔ながらの幻想があります。CISOが肥大化した技術環境を見渡し、4つで済むはずの仕事を11個のツールがこなしていることに気づきます。ライセンス費用の削減額を算出し、真新しい戦略的プラットフォームを選定して、統合の開始を宣言します。ところが半年後も、11個のツールはすべて稼働したままです。新しいプラットフォームが12番目として加わっただけです。

金融サービスからメディア、テクノロジー企業まで、私は職歴を通じてこうした例を何度も見てきました。CME Groupでは、非公式ながら「最高廃止責任者（chief decommissioning officer）」という肩書きを自分に与えたほどです。仕事は、肩書きの響きよりはるかに地味でした。役目を終えたはずなのに居座り続けている技術を見つけ出し、自分が所有者だと思っている人物を特定し、実際に誰が依存しているのかを突き止め、ときには息の根を止めるのです。

技術を買うのは簡単ですが、技術を葬るのは困難です。ツールの乱立は、単なる技術の問題であることはまれで、むしろ組織心理の問題です。業界はこれまで、統合によってこの問題を解決しようとしてきました。プラットフォームを購入し、スタックを標準化し、ベンダーを減らして調達を一元化するという方法です。いずれも理にかなった考え方ですが、統合の取り組みはたいてい、PowerPointのスライドと本番環境のあいだのどこかで頓挫します。

なぜでしょうか。ツールセットを変えるのは簡単でも、マインドセットを変えるのははるかに難しいからです。

エンジニアリングチームにジェダイのマインドトリックは通用しない

経営幹部は、いわゆる「トップからのメッセージ」を好みます。CEOはセキュリティが重要だと語り、CIOは全員が標準化すると宣言し、CISOは戦略的プラットフォームを発表します。調達部門は契約を再交渉します。一方でGartnerは、選定したベンダーが正しい幾何学的領域に収まっていると全員を安心させるクアドラントを世に出します。ゴルフ場での縁故主義が支配する世界では、万事が順調というわけです。

そこへ現実がやって来ます。開発者は、新しいスキャナーだと12分余計にかかると訴えます。マーケティング担当マネージャーは、収益を生むレガシーAPIに依存しています。そのツールを支えるパッケージはすでにサポート終了となりセキュリティ更新も受けられないのに、存続を認めるよう求める例外申請が何年も出され続けています。ここで重要になるのが「中間からのメッセージ」です。

変革は、役員会議室やフュージョンチームの中だけで起こるものではありません。上層で発表された方針が、現場で実践される行動になるかどうかを左右するのは、エンジニアリングマネージャー、アーキテクト、プロダクトオーナー、セキュリティエンジニア、運用リーダーといった層です。組織図のどの階層も、表向きは正しいことをして物事を良くしようとしています。それでも、トップダウンの政治とボトムアップの取り組みが、共通の土台の上で出会うことはめったにありません。

組織図の中間層を無視すれば、統合プロジェクトは高くつく「棚ざらしソフトウェア」の演習に終わります。私はこれを欧州の組織で働く中で学びました。欧州では、アメリカ企業に多い指揮統制型の本能（ナイキに由来する「Just Do It!」の経営哲学）よりも、合意形成のほうが組織内で重みを持ちます。決定を下す権限があっても、それを定着させ、実施に値するものにするために必要な組織の許可（いわゆる「現場で役に立つ」文脈）がなければ、決定は機能しません。

優れた最高廃止責任者には、ジェダイとマキャベリ、両方の資質が求められます。説得力、連合の形成、インセンティブ、選択的な圧力、そして、ぜひとも支持してほしい案を「もともと自分の発案だった」と相手に思わせる力です。これこそ、まさにお探しのドロイドです。

あらゆるツールにはアイデンティティがある

セキュリティ製品をソフトウェアとしてだけ捉えるのをやめると、スター・ウォーズの比喩はいっそう役に立ちます。現代のセキュリティツールには、意思と意図があります。具体的には、次のようなものを持っています。

• APIキー
• サービスアカウント
• OAuth許可
• クラウド権限
• GitHubアクセストークン
• CI/CD連携
• Slackボット
• Webhook
• データベース認証情報
• Kubernetesロール
• マシンID、そして

ますます増えているのが、人間から委任された権限を広範かつ持続的に行使するAIエージェントです。

セキュリティ製品を導入するたびに、強力な権限を持つアカウントがまた一つ生まれます。業界は人間のIDについては延々と議論しています。この人物は誰で、何にアクセスしてよいのか、という議論です。ところが委任されたIDについては、明らかに規律が甘いのが実情です。このアプリケーションは、Mikeに代わって何をしてよいのか。このスキャナーは、GitHubから何を読み取ってよいのか。この連携は、どのリポジトリを変更できるのか。3年前に旧ベンダーへ渡した認証情報はどれか。そして重要性を増している問いがあります。自律型エージェントが動くとき、実際には誰の権限を行使しているのか。これはツール乱立の経済性を変えます。12個目のセキュリティツールのコストは、年間サブスクリプション料金が1件増えるだけではありません。（場合によっては見当違いの）信頼関係がもう一つ増えるのです。

だからこそ私は、廃止（デコミッション）をセキュリティの中核的な規律として提唱しています。テクノロジー組織は「不死バイアス」に陥っています。私はこのテーマで、今春のRSACにて「最高評価セッション」を担当しました。私たちは、物を作る洗練されたプロセスを持っています。ところが、物を消すプロセスは驚くほど原始的です。ソフトウェア開発ライフサイクルは通常、計画、設計、開発、テスト、デプロイという流れで図示されます。この図はたいていそこで終わり、デプロイされたアプリケーションはすべて、その後ずっと幸せに暮らしましたとさ、と言わんばかりです。実際にはそうはなりません。

廃止を伴わない統合は、ただの増殖

ベンダーが「プラットフォーム化」だけでツールの乱立を解決できると約束しても、私は懐疑的です。プラットフォーム戦略そのものは、間違いなく理にかなっています。ベンダーが減れば、ライセンス費用や連携の数が減り、運用の複雑さを抑えながらデータの一貫性を保てる可能性があります。しかし、プラットフォームを購入しただけでは、何も統合されません。古いシステムを取り除いて初めて統合になります。当たり前に聞こえますが、多くの組織は、排除したシステムの数ではなく、締結した契約の数で統合の成否を測っています。

3つのツールを1つのプラットフォームに置き換えながら、3つの製品を「一時的に」稼働させたままにしたとしましょう。サービスアカウントは残り、誰かが相変わらずログインしています。おめでとうございます。4つのツールを1つに統合したのではなく、3つのツールを4つに統合したことになります。セキュリティ製品が自律的な機能を備えるにつれ、この違いは重要になります。昨日の忘れ去られたダッシュボードは、明日には、アクションを実行する権限を持った忘れ去られたエージェントになります。ゾンビアプリケーションだけでも十分に厄介ですが、主体性を持つゾンビアプリケーションはさらに悪質です。

ドロイドを実際に使っている人に尋ねる

解決策は、中央集権的な統制を強めることではなく、所有者を明確にすることです。RACIマトリクスの出番でしょうか。ツールを置き換える前に、それを使っている人を見つけ、恥ずかしいほど単純な質問をします。「これを実際に何に使っていますか」。契約書に何と書いてあるかを聞いてはいけません。アーキテクチャ図の記載を鵜呑みにしてもいけません（ただし、最終更新日は必ず確認してください）。

ベンダーのカスタマーサクセス担当者が信じていることも、話半分、いやそれ以上の疑いを持って受け止めましょう。火曜日の朝、人々は実際にそのツールで何をしているのか。答えを聞くと、セキュリティリーダーはたいてい驚きます。脆弱性スキャナーの主な価値は、脆弱性スキャンではないのかもしれません。あるエンジニアリングチームが、週次の指標を得るために、目立たないエクスポート機能に依存している可能性もあります。古いSIEMに、規制要件に紐づいた相関ルールが1つだけ残っていて、移行されていないこともあるでしょう。探せば、こうしたものは見つかります。

ここで、組織の中間層があなたにとって本当のインテリジェンスネットワークになります。システムに最も近い人々は、文書化されていない依存関係がどこに潜んでいるかを知っています。彼らを障害物として扱えば、自分たちのツールを守ろうとします。しかし参加者として迎えれば、ツールの解体に手を貸してくれます。誰かの「かわいい我が子」を葬ろうとするときは、次のことを理解してもらうのが有効です。その人が愛着を抱いたのは、ツールが導入される前に渦巻いていた混乱を抑え込む統制力だったということ。そして、新しいツールも同じように使いやすく、「ヘリテージ」（私は「レガシー」よりこの呼び方を好みます）なアプリケーションやソリューションが要求する世話や手入れの負担よりも、サポートしやすい場合があるということです。

所有者には、廃止を提案する権限も与えるべきです。組織が設ける指標として、最も健全なものの一つは、今年うまく排除したツールと連携の数でしょう。私たちはデプロイを祝います。では、なぜ削除は祝わないのでしょうか。

最高廃止責任者としてのCISO

CISOはみな、CDOとして過ごす時間を持つ必要があります。最高データ責任者ではなく、最高廃止責任者です。この役割には、答えにくい問いを投げかけることが求められます。テクノロジー業界のほとんどのインセンティブが、追加を後押しするからです。何かを停止したところで、プレスリリースが出ることも、昇進することもありません。しかしレジリエンスは、一部が引き算によって成り立っています。

冗長なベンダーを1社排除するたびに、データを保有する企業が1社減り、攻撃者が狙って侵害できる管理コンソールも1つ減ります。業界は数十億ドルを費やして「ほかに何を導入すべきか」と問い続けています。成熟した組織は「安全に排除できるものは何か」とも問います。エージェント型AIの時代には、この2つ目の問いがはるかに重要になります。

企業には、人間に代わって動くデジタルのドロイドが急速に増えています。機能にかかわらず、ほぼすべてが認証情報と委任された権限を必要とします。この移行をうまく乗り切る組織は、こうしたIDを承認する方法を知っているだけではありません。ローテーションと失効も自動で行います。したがってリーダーシップには、トップからのメッセージと中間からのメッセージの両方が必要です。トップは方向性を定め、中間は現実を提供します。

実際に作業をしている人々を意思決定に巻き込みましょう。77個のダッシュボードの統合を担うフュージョンチームは、古参のリーダーと、若い新人の両方で構成してください。依存関係や機能要件（時代遅れかもしれませんが）、そして可用性、完全性、機密性といった非機能要件の理解に努めてください。後継製品を購入する前に、どうなれば廃止に成功したと言えるのかを定義しておくのです。

「立ち去れ」と言ってはいけない

次に誰かがスタックの半分を解消すると約束する奇跡の新プラットフォームを持ち込んできたら、手を振って「こいつらは探しているドロイドじゃない」と言いたい衝動を抑えてください。実際、そのとおりかもしれません。しかしドロイドを買い足す前に、すでにあなたのデス・スターを徘徊しているドロイドの持ち主が誰なのかを突き止めましょう。見つけ出し、名前を挙げ、どのような権限を与えたのかを理解してください。そして任務が終わったら、思い切って電源を切りましょう。Wikiや、ConfluenceやSharePointのサイトに「テクノロジーの墓場」を作り、廃止したツールや技術が加わるたびに、新たに生まれたものよりもいっそうの熱意で祝ってください。