チームの力: サイバーセキュリティにおけるAxisの連携型アプローチ

サイバーの脅威が高度化する中、それに対抗するための当社の取り組みも進化し続けています。Axisのサイバーセキュリティ部門ディレクターであるJonas Falkは、次のように述べています。「セキュリティは、技術開発から日々の業務に至るまで、私たちが行うすべての活動に深く組み込まれています。Axis Software Security Group (SSG) は、研究開発部門で働く5人のセキュリティエンジニアで構成される専門チームで、サイバーセキュリティの取り組みを主導しています。同チームは、Axis Security Development Model (ASDM) を開発しました。これは、企画段階から運用終了に至るライフサイクル全体を通じて、セキュリティを組み込んだソフトウェアを開発するためのプロセスとツールを定義したフレームワークです。

しかし、Axisのような大規模組織のサイバーセキュリティを、たった5人だけで担うことはできるのでしょうか？もちろん、それは到底無理なため、同チームは「サテライト」と呼ばれる独自のネットワーク体制を構築しました。これは、社内全体に配置された約75人のメンバーで構成され、SSGのアンテナ役として機能しています。SSGチームは、中央集権的に自らセキュリティ対応を担うのではなく、サテライトのソフトウェアエンジニアを指導し、主体的に取り組めるよう支援しています。エンジニア自身が対応方法を理解し、さらにそれぞれのチームへ知識を共有し、コーチングできるようにしています。サテライトになることで、スキルや知識を向上させるだけでなく、革新的なサイバーセキュリティソリューションの開発にも重要な役割を果たすことができます。

SSGチームの3人のメンバーと話し合い、この設定の仕組みをもう少し詳しく掘り下げました。Eva Haslumは2012年にAxisに入社し、当初はソフトウェア開発者およびサテライトとして従事していました。その後、2023年からは現在のソフトウェアセキュリティエンジニアとしての役割を担っています。また、Lisa Enerothは、SSGチームに加わる前にソフトウェア開発者およびサテライトとして3年半従事し、2022年に同チームに入りました。また、Tara Hassaniはコンピュータサイエンスの修士課程修了後、2022年にAxisに入社し、SSGチームではソフトウェアセキュリティエンジニアを務めています。

Lisaは、サテライトになるプロセスについて次のように説明します。「まず、研究開発部門でサテライトの必要性があることを特定することから始まります。次に、研究開発部門マネージャーが、その役割に適していると考えるソフトウェアエンジニアを推薦します。」 「もちろん、セキュリティに関心があるなら自己推薦することもできます」と、Evaは付け加えます。セキュリティ専門家である必要はありません。Axisがコーチングを行い、サポートを提供します。必要なのは、好奇心を持ち、協力して働くことや人に教えることを楽しむ姿勢です。」 ソフトウェアエンジニアは誰でもサテライトになれますが、このネットワークに加わる女性の人数は顕著に増加しています。Evaはその理由を次のように推測します。「SSGチームはほぼ全員が女性であり、そのことが他の女性が参加するきっかけになっているのかもしれません。」

サテライトの役割に就くと、通常業務に約80%、サイバーセキュリティ業務に約20%の時間を費やすことになります。SSGは、サテライトとチームで初期ワークショップとコーチングセッションを実施します。SSGチームは、メンバーのスキルが向上するにつれて徐々に関与を減らし、サテライトが主導して業務を進められるようにしつつ、引き続きサポートを提供します。サテライトのネットワークは支援体制として機能しており、知識共有やベストプラクティスの促進にもつながっています。サテライトは製品のセキュリティ強化に貢献していますが、Lisaは次の重要点を強調します。「サテライトは最終製品のセキュリティに対して責任を負うわけではありません。何か問題が発生した場合、研究開発組織のラインマネージャーが常に絶対的かつ最終的な責任を負います。」

Evaは、サテライトとしての経験で良かった点と現在の役割について、次のように語っています。「組織全体を知るすばらしい方法であり、部門や市場を越えてさまざまな人と働くことができます。そしてSSGの一員として、組織内の大部分の人よりも非常に深いレベルでAxisのポートフォリオについて理解することができます。」 Lisaはサテライトとして働いていた間、常にセキュリティ業務を楽しみにしており、その結果、最終的にはフルタイムのセキュリティ業務に転向することを決めました。「とてもやりがいのある仕事です。ある瞬間は教える立場であり、次の瞬間には問題を解決する立場にもなれますし、製品が進化していく過程を見ることもできます。」

サイバーセキュリティにおいて分散型で協働的なアプローチを取ることのメリットは数多くあります。「製品とそれに伴うリスクを深く理解している人たちによって開発・実装されるため、セキュリティ業務の質が大幅に向上します」と、Lisaは述べます。Lisa、Tara、Evaはいずれも、この働き方はAxisの企業文化に合っていると考えています。Axisでは、共に問題を解決し合い、互いに力を引き出し合うことを大切にしています。