セキュリティチームに加わって、1年が経ちました。
振り返って最初に出てくるのは、「もう1年経ってるのか」という感想です。気持ち的には正直半年ぐらいで、爆速で毎日が駆け抜けていきます。
この1年で何をして、何を感じたのか。まだきれいに整理しきれてはいませんが、今のうちに書いておこうと思います。
入社したばかりの頃と1年たった今で、チームへの印象が変わったかというと、ぶっちゃけあまり変わっていません。特に変わらないのは、求められる姿勢です。
わからないことをそのままにせず、自分で考えて、まず動いてみる。入社したときに感じたこの空気は、1年たった今もそのままです。
この記事では、そんな環境の中でこの1年意識してきたことを3つ書いてみます。
「本質を問う」姿勢は今も大事にしています
1年前にスクラム研修の記事でも書いたことですが、「本質を問う」という姿勢は今もかなり意識しています。
今はSaaSサービスの問い合わせ対応を、ある程度ひとり立ちして回せるようになってきました。そのときに意識しているのが、「そもそも、この問い合わせで聞きたいことってなんなんだろう」というところです。
問い合わせの文面は、あくまで「今困っていること」を切り取ったものです。書かれた質問にそのまま答えるだけだと、回答としては正しくても、お客様が本当にやりたかったことには届かないことがあります。
たとえば「この設定のやり方を教えてください」という問い合わせでも、その奥には「こういう端末だけ制御したい」「この事象を二度と起こしたくない」といった目的があるはずです。目的が見えれば、聞かれた設定よりもっと合う方法を提案できることもあります。
なので回答を書く前に、「この設定を聞いているのは、何を実現したいからなんだろう」「この質問が出てくるのは、どんな状況なんだろう」「そもそも困っていることは書かれていることが全てなのだろうか」と一段さかのぼって考えるようにしています。
背景が読み切れないときは、推測で埋めずに確認する。これもセットで大事にしていることです。
スクラム研修のときに学んだ、「それって本当にそう？」「なんでそう思うの？」と問い続ける姿勢は、クラウドネイティブの文化でもあります。1年たった今、それが問い合わせ対応という毎日の仕事の中で当たり前の習慣になってきた気がします。これからも大事にしていきたい姿勢です。
「わからないけど、やってみるか！」の連続
この1年を一言でまとめると、「できるかできないかわからないけど、やってみよう」の繰り返しでした。
やってみるたびに、「ここはこう書いた方が伝わりやすい」「これはこう筋道を立てて進めるのがいい」とアドバイスをもらい、少しずつ成長している最中です。
「なんだこれ！わっかんねーな！」に出会ったときは、AIと壁打ちしながら進めていました。
とはいえ、AIに丸投げしているわけではありません。やり方はだいたいこの順番です。
- まずAIで公式の情報源をそろえ、原文に本当にそう書かれているか自分で確認する
- それを自分なりに噛み砕く
- そのうえでAIに見解を聞く
- それでもわからない場合は、自分の見解を添えたうえでチームに相談する
特に大事にしているのが1と2です。
ここを飛ばして3に行くと、AIが「公式ドキュメントにこう書いてあります」と言ってきたのに、原文を確認したらそんな記述はどこにもなかった・・・ということが普通に起こります。
なので、ここは絶対におろそかにしないようにしています。
4でチームに相談するときも、「わかりません」だけではなく「ここまで調べて、こう考えています」をセットにしています。そうすると相談された側も答えやすく、返ってくるアドバイスも具体的になります。
その積み重ねの結果、チームでやっている「お世話会」の内容をもとに登壇したり、お世話会の一部を自動化して、その話でまた登壇したりもしました。
お世話会については、こちらの記事で紹介しています。
セキュリティ製品、導入して終わりになっていませんか？ ── 私たちの「お世話会」というメソッドのご紹介
①「導入して終わりにしない」お世話会の話
1回目は、セキュリティ製品を導入したあとの課題と、お世話会でどう回しているかをお話ししました。
本番前には社内でリハーサルをして、「自己紹介に前職のひとり情シスの話を入れると、最後のエピソードに説得力が出る」「製品名より一般的な用語のほうが伝わる」など、たくさんフィードバックをもらいました。まさに「ここはこう書いた方が伝わりやすい」の実践編です。
② お世話会×AIで、確認作業を仕組みにした話
2回目は、お世話会で積み上げてきた判断基準を、AIコーディングツール（Claude Code）で脆弱性管理の通知の仕組みに落とし込んだ話をしました。
コードを書いた経験はほぼありません。作っている最中も「何これ！？」の連続でしたが、それでも現場の判断基準がそのままツールになる、という体験ができました。作ったもののセキュリティをどう確保するか、意図どおり動いているかをどう確かめるか、というところも含めてお話ししています。
1年前の自分に「ウェビナーで2回も登壇するよ」と言っても、たぶん信じないと思います。
タスク管理は「パッとみてわかる」ように
子育て中だからこそ、仕事に割ける時間には限りがあります。
限られた時間の中で一番もったいないのは、「これ、今どういう状態だっけ？」を思い出すための時間です。なので、無駄な「あれ、なんだったっけ」をなるべく削ぎ落としました。
工夫したのは、今だれがボールを持っているのかを一発で見えるようにすることです。
ボールが自分にあるのか、相手にあるのかがわかれば、その日やるべきことはおのずと決まります。
Asanaのマイタスクでは、ざっくりこんな形で整理しています。
① セクションを「いつ動くか」で分ける
マイタスクのセクションは、Do today / 今日アクションが必要なAskや自分持ち、急ぎのAsk / Ask（today対応以外） / 回答済み（クローズまだ） / 当日できたらやる / お世話会で聞くこと といった形で、「今日動くのか」「あとでいいのか」「急ぎじゃないけど周囲に意見を聞きたいことがあるのか」などで分けています。
朝いちばんに各セクションを見ていけば、今日やることが大体決まります。
デイリーで画面共有しながらやることを共有するのですが、「どこにボールがあるのか」を一目で把握できる＆今日その中で手がかかるものはどれかも一目でわかるので、浮いたタスクがあった時や出てきた時にリソースを割けるかどうかも自分もチームも判断できるのは地味に便利だったりします。
② カスタムフィールドで「ボールの場所」を書く状況 というフィールドに「サポート回答まち」「顧客側対応中」「検証必要」「文章作成中」などを入れて、今ボールを持っているのが自分なのか、ベンダーサポートなのか、お客様なのか、それに何かアクションを追加でしたのかなどを一目でわかるようにしています。
あわせて 確認事項 に「返信待ち」「切り分け中」のような一言メモを残しておくと、タスクを開かずともある程度今どういう状況なのかがわかるので前回どこまでやったかを思い出す時間がほぼゼロになってます。
③「回答済みだけどクローズしていない」を独立させる
回答はしたけれど、お客様の確認待ちでまだ閉じられないものは専用のセクションに移しています。自分の手を離れたものが、今日やることに混ざらないようにするためです。
こうしておくと、マイタスクを見るだけで「自分が動くべきなのか」「待つだけでいいのか」がわかるので、限られた時間をそのまま手を動かすことに使えます。
2年目に向けて
整理しきれていないと言いつつ、次にやってみたいことは少しずつ見えてきています。
ひとつは、お世話会の自動化をもう一歩進めることです。今はお世話会で確認している作業を、まずは「会の前にデータがそろっている」状態にし、ゆくゆくはあらかじめ基準を決めた明確なパターンは自動でクローズできる状態にするなどして、人は例外だけに集中できる形を目指しています。
もうひとつは、クラウドまわりの基礎体力をつけることです。
どちらも、たぶんまた「わからないけど、やってみるか！」から始まります。
おわりに
冒頭で「気持ち的には半年ぐらい」と書きましたが、振り返ってみると、その1年の中にけっこういろいろ詰まっていました。
プロフェッショナル集団なので、入社したばかりの頃は振り落とされるのではないかと戦々恐々としていました。前職ではひとり情シスだったこともあり、チームで仕事を進めること自体がほぼ初めてだったんです。
でも実際は、「頑張って行動を起こそうとしている」人にしっかり寄り添い、優しく教えてくれる良いメンバーが揃った会社です。
社内の検証プロジェクトに手を挙げて進めたときも、チーム内外問わず質問には丁寧に答えてくれました。協力をお願いしたいことが出てきたときも、快く引き受けてくれました。そんな人たちに囲まれて仕事ができています。
わからないことを調べて、相談して、また新しいことに手を挙げる。それを繰り返せたのは、行動しようとする私を支えてくれるメンバーがいたからです。
2年目も、「わからないけど、やってみるか！」でいきたいと思います。
