「想像以上に、みんなセキュリティのことを不安がっている」アキレスCTO福井が考える、正しさを押しつけないセキュリティ

セキュリティは、高ければ高いほどよいものなのでしょうか。

株式会社アキレスセキュリティでCTOを務める福井さんは、「すべての企業が、最高レベルのセキュリティを目指す必要はない」と話します。

企業の規模やフェーズ、扱う情報によって、必要な対策は異なる。
重要なのは、どのようなリスクがあるのかを理解し、自分たちで意思決定できることです。

自身が代表を務める株式会社Blank Canvasを経営しながら、アキレスセキュリティの
技術・事業・組織づくりに携わる福井さん。

大学時代にプログラミングと出会い、フリーランスとして自ら営業して案件を獲得し、エンジニアチームの立ち上げや法人化を経験してきました。

なぜ、別会社の代表でありながら、アキレスのCTOを引き受けたのか。

アキレスに関わる中で見えてきた、企業が抱えるセキュリティへの不安、CTOとして目指す技術組織、AI時代に求められるセキュリティ人材について聞きました。

夢中になれるものを探す中で、プログラミングに出会った

■福井さんは、最初からエンジニアを目指していたわけではなかったのですか？

そうですね。プログラミングと出会ったのは、大学1年生の頃です。

それまでは音楽をやっていて、音大を目指していました。ただ、その道を一度諦めることになり、東京理科大学へ進学しました。

大学へ入った当時は、それまで目指していたものを失い、新しく夢中になれるものを探していたような状態だったと思います。

その中で、理系の友人を通じて情報系の分野やプログラミングに触れる機会がありました。

ちょうど、小中学生向けのプログラミング教育が注目され始めていた時期です。大学1年生のときに、学生団体でプログラミング教育事業を立ち上げました。

最初はエンジニアではなく、マーケティングや事業づくりなど、ビジネスサイドに近い立場で関わっていました。そこから徐々に、自分でもプログラミングに触れるようになりました。

■実際にプログラミングを始めて、どのように感じましたか？

すごく自分の肌に合っていました。

最初から「これから伸びる分野だからやろう」と戦略的に考えていたわけではありません。純粋に「かっこいい」「面白そう」と思い始めました。

実際にやってみて印象的だったのが、プログラミングだけは、徹夜しても苦ではなかったことです。

ほかの作業であれば、眠くなれば寝たいと思います。でも、プログラミングをしているときは、徹夜していても苦に感じませんでした。

そのときに、「これは本格的に向き合った方がいいかもしれない」と思いました。

義務感で続けたというより、もっと知りたい、もっとやりたいという気持ちで、自然にのめり込んでいった感覚です。

技術だけでは仕事にならない。必要なら、自分で営業する

■大学時代は、どのように技術や仕事を学んでいったのですか？

大学2年生のときに、小規模な開発会社で長期インターンを始めました。

社長直下で約1年間、開発について学びました。

コードレビューを受けるだけではなく、お客様とのミーティングにも同席させてもらい、ときには自分で話す機会も与えてもらいました。

プログラミングの技術だけではなく、お客様が何に困っているのか、どのように話を聞き、どのような形で提案するのかまで学ばせてもらった期間でした。

大学3年生になると、フリーランスとして独立しました。

ただ、当時は仕事を依頼してくれる社会人の知り合いがほとんどいませんでした。

エンジニアとして仕事をしたくても、案件がなければ何も始まりません。そのため、まずは自分で営業をしました。

かなり泥臭く、自分の足を使って仕事を取りにいきました。

少しずつ案件が増え、独立から3カ月ほどで、フリーランスエンジニアのチームをつくり始めました。

最終的には10人弱ほどのチームになり、私が営業やPM、一部SEを担当し、ほかのメンバーと一緒に開発・納品を進める体制をつくりました。

■技術者でありながら、営業や顧客対応も自分で行っていたのですね

必要だったから、やったという感覚です。

技術を身につけるだけでは、仕事は生まれません。

お客様を見つけ、課題を聞き、提案して、信頼してもらわなければ、開発する機会そのものが生まれないからです。

私は、技術者だから営業をしない、顧客対応をしない、という考え方ではありませんでした。

必要であれば自分で営業する。案件が増えたらチームをつくる。
責任を持てる体制が必要になれば法人化する。

その都度、必要なことを考えて行動してきました。

大学3年生の終わり頃には、1案件の規模が1,000万円を超えることも出てきました。

その規模になると、法人格のない個人の集まりへ依頼することに、お客様が不安を感じるようになります。

私たち自身も、開発組織として責任を持って仕事をするためには、法人にする必要があると考え、Blank Canvasを設立しました。

若くして起業したけれど、決して順風満帆ではなかった

■大学時代に起業し、現在まで会社を続けていると、順調なキャリアに見えます

外から見ると、そう見えることもあるかもしれません。

ただ、会社を立ち上げた当時の私は、ビジネスパーソンとして非常に未熟でした。

失敗も多く、周囲に迷惑をかけたこともあります。

当時は、経営者として必要な判断や、組織をつくるうえで必要なコミュニケーションについて、分かっていないことがたくさんありました。

今もまだ学び続けている途中ですが、特に会社を立ち上げてからの数年間は、自分の未熟さを感じる場面が多かったです。

それでも、周囲の方に助けてもらいながら、ここまで続けることができました。

自分一人の力で会社を成長させてきたとは思っていません。

失敗したときに支えてくれた人や、未熟な自分に仕事を任せてくれた人がいたから、今があります。

「プロダクトの前に、ビジネスがある」

■会社を経営したことで、技術者としての考え方は変わりましたか？

大きく変わりました。

特に強く感じるようになったのは、プロダクトの前にビジネスがなければ、そのプロダクトは誰にも使われないということです。

プログラミングの面白さは、自分が書いたたった1行のコードが、世界中の何億人もの人に使われる可能性を持っていることだと思っています。

ただ、その1行を多くの人へ届けるためには、技術だけでは足りません。

誰に、どのような価値を届けるのか。

どのような課題を解決するのか。

どうすれば実際に使ってもらえるのか。

その手前にビジネスが必要です。

良い技術やプロダクトをつくれば、自然に世の中へ広がるわけではありません。

お客様に価値を伝え、実際に使ってもらい、社会の中で役立つ状態をつくらなければ、プロダクトとしての価値は生まれません。

私にとって、コードを書くこと自体が最終目的ではありません。

そのコードが誰かに届き、使われ、何らかの変化を生むところまで考えることを大切にしています。

CEO野村さんとは、ぶつかっても関係が終わらなかった

■CEO野村さんとは、どのように出会ったのですか？

Blank Canvasを立ち上げた初期の頃です。

複数の会社で進める開発プロジェクトがあり、私と野村さんは別会社の立場でしたが、同じプロジェクトに取り組んでいました。

当時、私は20歳くらいでした。

かなりハードなプロジェクトで、野村さんとは熾烈な交渉や議論をすることもありました。

私も、ただ「すみません」と引くのではなく、「私はこう思います！」と意見を伝えていました。

コロナ禍だったため、深夜までZoomで議論を続けることもありました。

そのような状況の中で、野村さんがタピオカを差し入れてくれたこともあります。

そうして、気づいたら本音でぶつかり合い、お互いを気遣える関係になっていました。

■当時のぶつかり合いが、現在の信頼関係につながっていますか？

かなりつながっていると思います。

私は、一度も喧嘩したことがない人との関係には、少し怖さがあります。

意見がぶつかったときに、その関係が終わってしまうかもしれないからです。

一方で、一度意見をぶつけても終わらなかった関係であれば、次にぶつかったとしても、きっと関係は終わらないと思えます。

野村さんとは、過去のプロジェクトで何度も率直に議論しました。
それでも関係は終わりませんでした。

だから今も、必要だと思ったことは遠慮せずに伝えられます。

スタートアップでは、正解がない中で意思決定をしなければならない場面が多くあります。

表面的に仲が良いことよりも、意見が違ったときに、本音で議論できることの方が大切です。

ぶつかっても関係が壊れないという信頼があるからこそ、組織にとって必要なことを率直に伝えられるのだと思います。

社会的な意義と、技術的な面白さ。最後は「面白さが勝った」

■Blank Canvasの代表を続けながら、アキレスのCTOを引き受けた理由を教えてください

野村さんから最初に構想を聞いたとき、サイバーセキュリティは非常に面白い領域だと感じました。

技術的に面白いだけではなく、社会的な意義が大きい領域です。

私は、自分自身のアイデンティティを「社会起業家」だと捉えています。

社会にある課題へ関心を持ち、事業や技術を通じて解決したいという思いがあります。

サイバーセキュリティは、企業や人が長い時間をかけて積み上げてきたものを守るために欠かせません。

技術者としても、社会起業家としても、挑戦する意味があるテーマだと感じました。

もちろん、リソース面の懸念はありました。

自分の会社を経営しながら、別のスタートアップのCTOを務めることになるため、忙しくなることは分かっていました。

ただ、最終的には面白さが勝ちました。

「想像以上に、みんなセキュリティのことを不安がっている」

■間近でセキュリティ領域にかかわる中で、セキュリティへの印象は変わりましたか？

アキレスに関わる前に考えていた以上に、多くの人がセキュリティについて困り、不安を感じていることが分かりました。

「想像以上に、みんなセキュリティのことを不安がっている」というのが、今の率直な実感です。

何か対策をしなければならないことは分かっている。

けれど、自分の会社がどの程度危険なのか、何から始めればよいのか、どこまで対策すればよいのかが分からない。

そのような不安を抱えている方が、非常に多いと感じています。

セキュリティは、技術の話である前に、人の不安や企業の意思決定に関わる問題だと思います。

専門家として正しいことを言うだけでは、その不安は解消されません。

相手が何に困り、何を怖いと感じているのか。

何が分からないから、意思決定できずにいるのか。

そこまで理解したうえで、相手が判断できる形へ情報を整理して伝える必要があります。

セキュリティ対策は高ければ高いほどよいわけではない

■企業に対してセキュリティを伝えるとき、何を大切にしていますか？

まず、その方がどのような立場にいるのかを理解することから始めます。

どの部署に所属していて、どのような役割を担い、何を実現しなければならないのか。

その人が背負っているミッションを捉えたうえで、伝える内容や話し方を変えます。

セキュリティの正しさを一方的に押し付けても、相手には届きません。

セキュリティ対策を進めれば、情報を守ることはできます。

一方で、ルールや制限を増やしすぎれば、業務の生産性が下がることもあります。

だからこそ、すべての企業がセキュリティレベルを最大まで高めればよいとは考えていません。

立ち上げたばかりのスタートアップと、成熟した大企業では、必要なセキュリティレベルは異なります。

一般的な情報だけを扱う企業と、機密性の高い情報や個人情報を多く扱う企業でも、取るべき対策は変わります。

企業の規模やフェーズ、事業内容、扱っている情報によって、適切なバランスは異なります。

■企業ごとに、正解が異なるということでしょうか？

そうですね。

重要なのは、どのようなリスクがあるのかを把握し、そのうえで意思決定することです。

リスクを理解したうえで、「現時点では、このリスクを受け入れる」と判断するのであれば、それも一つの経営判断です。

最も危険なのは、リスクを知らないまま、何も判断していない状態です。

アキレスセキュリティは、不安をあおって対策を押し付ける会社ではありません。

まずリスクをフラットに伝える。

そのうえで、その企業にとって何を優先するべきなのか、どこまで対策するべきなのかを一緒に考える。

企業が自分たちで納得して判断できる状態をつくることが、重要だと思っています。

専門家が正しいことを言うだけでは、人は動けない

■アキレスセキュリティでは、どのような技術組織をつくりたいですか？

高い専門性を持ちながら、その専門性の中に閉じない技術組織をつくりたいです。

セキュリティについて何も分からない方や、技術を専門としていない方にも、正しく伝えられる組織です。

専門家が難しい言葉で説明し、「説明した」と満足するだけでは意味がありません。

相手が理解できていなければ、意思決定も行動もできないからです。

専門用語を簡単な言葉へ置き換えるだけでも足りません。

相手がどのような立場で、何に困り、何を決めなければならないのかまで理解する必要があります。

そのうえで、相手が判断するために必要な情報を届ける。

そこまでできる技術組織をつくりたいと思っています。

■アキレスセキュリティのエンジニアには、技術力以外に何を求めますか？

自分の意見を発信できることです。

お客様の前に立ち、自分の言葉で説明できること。

相手が理解できていないときに、その原因を考え、伝え方を変えられること。

技術的に正しい回答を出すだけではなく、その回答が顧客や事業にどのような影響を与えるのかまで考えられること。

一人で黙々とコードを書く力だけではなく、技術と顧客、技術と事業をつなぐ力を持つエンジニアが必要です。

AIへ「このAIは安全ですか」と聞くだけでは、検証にならない

■CTOとして、AIとセキュリティの関係をどのように考えていますか？

AIの活用を進めるほど、セキュリティとの緊張関係は生まれやすくなります。

AIを積極的に活用することと、情報を厳格に守ることは、アクセルとブレーキのような関係です。

だからといって、どちらかを諦めればよいわけではありません。

多くの企業が、「AIをどこまで活用し、セキュリティをどこまで高めるべきか」というバランスに迷っています。

だからこそ、アキレス自身が、AIを活用しながら適切にセキュリティを担保する企業事例になりたいと考えています。

私たち自身が試行錯誤しながら、AI活用とセキュリティを両立する現実的な方法を示していきたいです。

■AIに代替されないセキュリティ人材の価値は、どこにあると思いますか？

AIの安全性を、人間が自分の知識やスキルで独立して検証できることだと思います。

AIへ「このAIは安全ですか」と聞き、AIが「安全です」と答えたとしても、それだけでは十分な検証にはなりません。

これは、嘘をついている可能性がある人に、「あなたは嘘をついていますか」と本人へ聞くような構造です。

本人が「嘘はついていません」と答えても、その答えだけで本当かどうかを判断することはできません。

AIの回答を鵜呑みにせず、本当に問題がないのかを技術的に判断できる人間が必要です。

AIを使わないことに価値があるのではありません。

AIを積極的に使いながら、その出力や安全性を自分の知識で検証できることに価値があります。

AIが発展するほど、セキュリティの専門性を持つ人の重要性は、むしろ高まっていくと考えています。

技術を、人と企業が判断するための力へ変える

■最後に、アキレスセキュリティのCTOとして、これから実現したいことを教えてください

セキュリティを、専門家だけが理解できるものにしないことです。

アキレスに関わる中で、想像していた以上に多くの人が、セキュリティについて不安を抱えていることを知りました。

専門的な情報はたくさんあります。

ただ、それを自分の会社に必要なことへ置き換え、正しく理解し、意思決定することは簡単ではありません。

だからこそ、専門性を持つ私たちが、相手の立場や事業の状況を理解し、判断に必要な材料を届けなければならないと思っています。

技術的に正しい答えを伝えるだけでは、人や企業は動けません。

どのようなリスクがあり、どのような選択肢があるのか。

それぞれの選択によって、事業や働き方にどのような影響があるのか。

そこまで整理し、企業が自分たちで納得して選べる状態をつくる。

技術を、人や企業が判断するための力へ変えていく。

それが、アキレスセキュリティCTOとして実現したいことです。