タグ: コラム（用語）

本稿の著者であるオーストラリア出身のRichard Steggall（リチャード・ステッグル）氏は、ニューヨークを拠点とするフィンテック企業Urban FTのCEO。フィンテック、資本成長、M&A、戦略的IPOアドバイザリーで20年以上の経験を持つ。

ーーー

金融機関は消費者の要求する利便を提供するテクノロジーに関して遅れており、Apple（アップル）、Amazon（アマゾン）、Google（グーグル）などの巨大テック企業が大衆の銀行になる道を空けている。2020年11月、Googleは同社の非接触決済サービスであるGoogle Payのデザイン変更を行い、既存銀行のサービスを統合し、ユーザーが大型テック企業に期待するようなシームレスで便利なユーザー体験を実現した。

ただし、そこには裏がある。

Googleが仕かけた巧妙なトリックの裏には、1つの事実がある。Googleは広告会社であり、広告は2019年の収入源の71％を占めている。

広告会社が銀行になりたがると何が起きるのか？

気にかけるべきことがある。広告会社、それも私たちの個人メールや位置情報、歌の好みや買い物リストなどから集めたテラバイト単位のデータを持っている会社が、今、私たちの銀行になりたがると何が起きるのか。答は不安だ。特にここ。あるいはここ。そしてここで見られるような巨大テック企業による驚くべきプライバシー軽視を踏まえれば。

金融市場が新たなテクノクラートの触手に干渉され、それも金融サービスの核心ともなると、かつて消費者や企業が依存してきた伝統的な銀行は、自分たちが岐路に立たされていることに気づく。市場シェアを維持するために、金融機関は新たなライバルたちが提供する利便性とパーソナライズにレベルを合わせるためにフィンテックへの投資を続ける一方で、これまでの信用と透明性を守らなくてはならない。

伝統的銀行はデジタル化に失敗した

フィンテックには、金融サービス業界を根底から覆し、金融機関（FI）が運用をより効率的にして卓越したユーザー体験（UX）を提供できるようにする可能性がある。

しかし金融機関、中でも小規模な地方銀行や信用組合には、転換を引き止めるデジタル格差がある。その多くが、豊富な資金を持つ全国規模の銀行や、VaroやMonzoといったテック指向の新興あるいはチャレンジャーバンクとの戦いに長年苦闘している。2016年から2019年の間に全世界で1兆ドル（約106兆円）以上を新技術に注ぎ込んできた主要銀行は、デジタル転換プログラムによる財政的恩恵を未だ受けていない、とAccentureは伝えている。

パンデミック下で多くの顧客がオンラインへと大量移動したことで、ギャップはこれまでになく広がっている。2020年4月だけで、モバイルバンキングの新規登録数は200％増加し、モバイルバンキングの総トラフィックは85％増えた、とFidelity National Information Services（FIS）は述べている。

データは巨大テック企業最大の成果で、金融サービスの収益ではない

当然、巨大テックは金融サービスに進出するチャンスを逃さずイノベーションの力を誇示し、銀行や信用組合は互角に戦うために大変な努力を強いられている。しかし、財産のデジタル化を考えている消費者は、伝統的な銀行に別れを告げてビッグテックの胸に飛び込む前に、用心しなければいけないことがある。

まず大型テック企業にとって、決済・金融サービスへの進出には多面的で意味があることを理解する必要がある。たとえば支払い代行機能は、小売やeコマースに焦点を当てている会社に新たな収入源を提供するだけでなく、ショッピングのプロセス全体により大きな力と制御をもたらすことを約束する。

米国における規制はこうした介入にある程度制約を与えるか、少なくとも会社が直接的に利益を上げることは制限するだろう。もちろん巨大企業たちは銀行設立許可についてくる規制の「お荷物」を望んでいない

しかし、テック企業は決済や資産管理などのサービスで直接利益を上げる必要がない、データさえ集められれば。ユーザーの支出パターンの傾向を収集することで企業のROI（投資利益率）は大きく上昇する。ユーザーがどのようにお金を使っているか、住宅ローンはあるか、どんなクレジットカードを使っているか、銀行はどこか、誰と取引しているかなどを知ることができる。

提供されるデータには、プライバシーに大きく関わるもの、たとえば医薬品、保険、さらには婚約指輪の購入情報が含まれる可能性もある。

消費者の懐に対する鋭敏な視界を得ることで、Googleの広告プラットフォームがいかに高い価値を持ち、支配的になるかを想像できる。

銀行はデータ倫理問題をリードすべきだ

金融サービスのデジタル化に関しては、「大いなる力には、大いなる責任がともなう」という古い格言に真実味がある。

顧客データは驚きべきツールであり、銀行はあらゆる財政状態の消費者にサービスを提供できる。たとえば顧客の消費傾向を分析することで銀行は、消費者が貯蓄、投資、消費をより賢く行うためのソリューションを提供できる。

しかし、そのサービスの利用者になることが、自分の検索や購入と直接結びついた広告が殺到することを意味するとしたらどうだろう。あるいはもっと狡猾に、もし銀行があなたのことをあまりにもよく知っていて、ペルソナを作りあなたのニーズや欲求を本人より早く予測するとしたら。それが、Googleの銀行の顧客になった場合のあなたの将来のように見える。

顧客データを使って提供するサービスを改善するだけでは十分ではない。セキュリティとプライバシーを保証するやり方で行わなければならない。水面下で収益をあげようとするのではなく、サービスをパーソナライズするためにデータを使うことによって、銀行は消費者ニーズの理解を深め、信頼を勝ち取ることができる。

信頼は銀行が自らの王座を守るための武器になる。消費者が自分のデータがどのように使えることができているかを気にかけ、それに反抗するようになればなおさらだ。プライバシーとセキュリティに関するPonemonの調査によると、成人の86％がFacebookとGoogleによる自分たちの個人情報の利用について「大変気にしている」。

データ収集が必要ではあるが賛否を呼ぶ状況で、銀行にとって最大の競争優位性は信頼と透明性だ。nCipher Securityの調査によると、消費者は自分の個人情報について未だにほかのどの業界よりも驚くほど銀行を信頼している。同時に、テクノロジーに対する信頼は落ちてきており、36％の消費者が情報共有に関して1年前よりも安心していない、と PwCは報告している。

銀行は、データ倫理戦略と人工知能（AI）テクノロジーの普及をリードしながら、消費者の必要とするものを提供する主要な位置にいる。そうすることで、長期的にデータ収集で巨大テック企業の上を行くことができる。

消費者中心のWin-Winの未来を目指せ

金融サービス業界は重要な岐路に立たされている。消費者は、伝統的銀行を離れて個人データを巨大テック軍団に手渡してデジタル体験とより大きな利便性とパーソナライズを享受する選択肢を与えられている。

しかし銀行は、デジタル化で消費者中心のアプローチを取れば、今からでも消費者を取り戻すことができる。

巨大テックが広告収入を支えるために消費者データを収集するのに対して、銀行はパーソナライズと優れたユーザ体験のためにデータを集めることで消費者の心をとらえることが可能だ。これは、地方銀行や信用組合には特に当てはまる。サービスに対する人間的触れ合いのアプローチは彼らにとって常に大きな差別化要因だ。データ収集の安全と透明性を確保しながらパーソナライズした対応を行うことで、銀行は市場シェアを取り戻し消費者の心を再びとらえることができる。

巨大テック企業は、私たちのデータに関してやってはいけないことの脚本を書く一方で、卓越した体験をどうやって作るかの足場を作ってきた。仮に銀行が、テクノロジーの専門知識もFacebook、Goolge、Appleのように豊富な資金も持っていなくても、倫理的データ利用と優れたユーザー体験の微妙なバランスを理解している責任感あるフィンテックとパートナーを組むことができる。

正しく行えば、誰でも勝者になれる。

カテゴリー：フィンテック

タグ：銀行、コラム

画像クレジット：Viktor Kitaykin / Getty Images

［原文へ］

（文：ゲストライター、翻訳：Nob Takahashi / facebook ）

本稿の著者であるLaura González-Estéfani（ローラ・ゴンサレス-エステファニ）氏は、世界の起業家エコシステムをより多様で国際的なものにし、公正な資本の利用を可能にするためにデザインされた国際的な事業者主導のベンチャーアクセラレーションモデルであるTheVentureCityの創設者でCEO。

ーーー

創設者や投資家が西海岸からテキサス州やフロリダ州へと押し寄せていることは、市場で何十年にもわたって展開されている大きな動きの先駆けである。

スタートアップの未来は、分散化されたグローバルなエコシステムにある。富と知識が集中しておらず、共有され、開かれている。そこには資本ではなくネットワークがある。

マイアミは幸先の良いスタートを切った。

情勢を整理しよう。マイアミはすでに世界で最も有名な（伝統的でない）スタートアップハブの1つに位置づけられており、2020年にはテック界の大手がフロリダに拠点を移す動きが見られた。マイアミのFrancis Suarez（フランシス・スアレズ）市長は、非常に人気のあるツイッターのキャンペーンでこの流入に拍車をかけている。

マイアミはすでに世界で最も有名な（伝統的でない）スタートアップハブの1つに位置づけられており、2020年にはテック界の大手がフロリダに拠点を移す動きが見られた。

これはグローバル志向の事業家たちがすでに知っている事実の表れだ。世界はマイアミが将来のハイテクハブの先駆者となることを待っている。この都市は、ラテンアメリカに関心のある米国のスタートアップのための出発点であるだけではなく、西半球に進出したいグローバルなスタートアップの戦略的な足がかりとなっている。

世界中で、起業家にとって国際的な機会が拡大している。新興市場の起業家にとって、人生を変えるような製品を生み出すためのより大きな接続性と可能性が存在する。

こうした起業家たちは、どこで存在感を発揮したいと考えるだろうか？グローバルな投資家と起業家のネットワークの中心であり、真のメルティングポットであり、成熟市場と新興市場が交差するところではないだろうか。

現在、マイアミに注目が集まっているのはそのためだ。しかし、マイアミは、近々この世界的なトレンドの一部となりそうな数ある都市の中の最初の都市にすぎない。

ここでは、なぜマイアミがスタートアップエコシステムの新しいグローバルグリッドの先頭に立っているのかを解説する。

1.グローバルテクノロジーはもはや一極集中しておらず、世界中に分散している

世界の主要なスタートアップエコシステムの3分の2は北米以外の地域にある。それだけでなく、専門家の70%はテクノロジーの影響力がシリコンバレーから分散しつつあると考えている。Bloomberg Innovation Indexでは、米国は2013年のトップから2020年には第9位に転落したが、欧州とアジアではテクノロジーに関する知識と影響力が成長しており、上海やベルリンなどの都市ではその勢いが増している。

同様にマイクロビジネスも増加傾向にあり（すでに世界中で新たなビジネスが生まれている）、郵便番号のあるビジネスは減っていくだろう。

つまり大企業やVC企業がシリコンバレーや米国の外へ進出してきても、同様のM.O.を構築しようとしているわけではなく、シリコンバレーだけが唯一のM.O.ではないことを示している。新しいM.O.はボーダレスでつながっている、インクルーシブなネットワークだ。これは投資家により遠く離れたビジネスチャンスへの拡大されたアクセスを与える。起業家は会社を設立するために最も便利な場所を選ぶことができ、膨大な経費を節約すると同時に、より多くの専門知識を共有できる。

2.グローバル企業は新興のハブで生み出すことができる

新興市場のスタートアップは概して、米国のスタートアップが受けられる資金のほんの一部しか受け取っていない。つまり、資金が底をついたときには、生き残るための最も革新的な解決策を考え出さなければならないという大きなプレッシャーにさらされることになる。

こうした現地の起業家を支援するには、地域のソリューションが必要であるという事実がある。医療から物流に至るまで、これらの垂直市場の課題にはすべて、国内のインフラストラクチャとサービスに関する知識が必要になる。

ここでの可能性は大きい。新興市場は世界で最も人口の多い国であり（中国、インド、ブラジル、メキシコ、ナイジェリアなど）、言語や接続性の壁は徐々に崩れつつあり、モバイルインターネットの利用は急増している。

投資家はすでにアジアからラテンアメリカに至るまでの新興市場の巨大な価値に注目しており、その注目は特に米ドルの価値が下がるにつれて高まっている。Pitchbookによると、ちょうど2020年第4四半期にラテンアメリカへのVC投資は2019年第4四半期に比べて93%成長した。

これは新興のハイテクハブにとって何を意味するだろうか？第1に、数が増え、より分散され、より多くの資金を持つようになるだろう。第2に、実証された牽引力を持つサービスを米国の顧客に提供する新興市場のスタートアップの流れが強まるだろう。

これらの企業が開発し、国内の何百万人ものユーザーを対象にテストする革新的な製品は、米国だけでなく、同じようなニーズを持つ他の新興市場でも肥沃な市場を見つけることができる。このような企業の多くは、本社に技術チームを置きながら、戦略的な事業基盤として米国を利用したいと考えている。

これは創設者、アクセラレーター、投資家、サポート組織が、歴史的に国際化を経験しており、世界中にコネクションを持っているからだ。では、これらの外国企業はどこに着地するだろうか？デンバーやオースティンに興味を持つだろうか。あるいは国際的なハブとして有名になったばかりの都市であろうか。

マイアミは、海外のスタートアップが米国と同じようなトレンドを持つ新興市場との両方にアクセスできる場所である。同市は成熟市場と新興市場の間のインターセクションに位置するように大きく前進し、インクルーシブな（人口の半分は外国生まれである）エコシステムを作り、個人主義よりもコラボレーションを優先し、新規参入を奨励する。したがって、これは多様性のあるスタートアップ都市の（実用的な）モデルになるだろう。

3.お金は後からついてくる

シリコンバレーからの「脱出」が話題になっている中、このハブが常に堅調であったのは重要な機能である資本へのアクセスのためだと指摘する向きもある。

しかし投資家は最良の機会を追う。つまり、テクノロジーへの投資はますますグローバル化することになる。簡単にいえば、シリコンバレーに富が集中していることは、世界中で高まるテクノロジーの需要と相容れない。シリコンバレーは滅びることはないが、市場規模は大きくなっている。そして、より多くの資本がすでに新興のテクノロジーハブに向かっている。

その兆候として、米国のベンチャーキャピタル大手が新興地域に進出していることが挙げられる。たとえばSequoia（セコイア）は最初のヨーロッパオフィスを開設し、SoftBank（ソフトバンク）はラテンアメリカに数十億ドル（数千億円）を投資している。

これは米国の投資家がマイアミのような世界的な機会に容易にアクセスできる地域を好むことを意味している。2020年、マイアミ地域へのVCによる投資はパンデミック中であるにも関わらず22億ドル（約2300億円）を超えた（スペイン全国で約1460億円だったことと対照的だ）。それだけでなく、新興市場の投資家からの資金調達も増えている。

ラテンアメリカでは、現地の資金提供者が有望な企業の支援に大きな役割を果たしている。2019年、ラテンアメリカに投資された記録破りの46億ドル（約4810億円）のVC投資のほぼ40％が、少なくとも1人のラテンアメリカの投資家との共同投資によるものであった。そして我々が見た限りでは、地域の投資家は米国を拠点とする組織にますます資金を提供している。

彼ら（そして同様の人々）が求めているのは、地域や外国の起業家とつながるエコシステムを確立し、市場を越えたパートナーシップを育むことだ。

マイアミのような場所はこうしたネットワークの拠点となる必要がある。南フロリダではすでに500 Startups（500スタートアップス）、Plug & Play（プラグ アンド プレイ）、TheVentureCity（ザ・ベンチャーシティ）など、グローバルなマインドを持つアクセラレーターやスタートアッププログラムを展開している。また、Ocean Azul（オーシャン・アズール）、Endeavor Catalyst（エンデバー・カタリスト）、Starlight Ventures（スターライト・ベンチャーズ）、Level VC（レベルVC）などの国際的なネットワークを持つVC企業に加えて、現在はソフトバンクが参加している。

4.マイアミはスタートアップの将来のニーズに対してより有利な場所にある

最後に、マイアミが国際的なコネクタースタートアップハブの米国におけるパイオニアであることを強調したい。

スタートアップは、より少ない費用で多くのものを5年に1度のペースで構築し、初日から国際的に展開することで、より多くの市場で製品をすぐにテストすることができる。これは世界レベルの接続性があれば実現可能であり、国境を越えて常に外に目を向けている環境にいることにつながっていく。

またタイムゾーンが南米の大部分と同じであり、ロンドンからわずか5時間遅れであることも便利だ（サンフランシスコがタイムゾーンを共有するのは、米国のその他の地域とバンクーバーだけである）。

成功を追い求めて生まれ育った土地を離れる人は、歓迎されることを望んでいる。彼らは、市長が「Cafecito（カフェシート、1杯のコーヒーほどの会話）」のために喜んで彼らに会い、他の創設者たちが彼らの到着を心から熱心に支持していることを評価している。成功するためにコネクション、資金、バックグラウンドが必要になりがちな、物価の高い都市には移り住みたくないと考えている。

マイアミは、グローバルなスタートアップハブの将来を映し出している。次のシリコンバレーにはならないだろう。なぜなら、次のシリコンバレーは不要だからだ。地球上のあらゆる場所で起業家の世界が繁栄するにつれ、新興市場の企業が米国やヨーロッパの市場を席巻し、その拠点となる都市が国際的なネットワークに参入していくことになるだろう。

カテゴリー：その他

タグ：Miami、コラム

画像クレジット：Buena Vista Images / Getty Images

［原文へ］

（文：ゲストライター、翻訳：Dragonfly）

著者紹介：本稿は加藤章太朗氏（Twitter、note）による寄稿記事。同氏は慶應義塾大学卒業後、2009年にRELATIONSを共同創業。また、2021年にはコードシティを創業し、建設にかかるコストの劇的な削減を目指し、建設3Dプリンターの開発を行う。

ーーー

本稿では、自律分散型の組織の1つの形態である「アジャイル組織」について説明する。アジャイル組織は、SpotifyなどのIT企業やINGグループの巨大金融企業も取り入れていると言われ、マッキンゼー・アンド・カンパニーやボストン・コンサルティング・グループなども研究を進めている組織構造だ。

アジャイル組織とは

アジャイル組織とは、ソフトウェア開発で取り入られているアジャイル開発の概念を、開発組織だけではなく組織全体に適応する考え方である。従来、ソフトウェア開発の世界では「ウォーターフォール開発」という考え方が主流だった。これは、最初にすべての機能を設計・計画し、計画に従って実装をし、テストをするという開発手法だ。

しかし、ウォーターフォール開発では完璧な設計や計画が求められ、リリースまでに長い期間がかかる。例えば、1ヶ月間で要件定義し、3ヶ月間で設計をし、6ヶ月間実装し、2ヶ月間テストをし、12ヶ月後にリリースするというようなイメージだ。

確実性の高い開発手法ではあるものの、変化が激しい世の中では、1年前に考えていたことが陳腐化しており「リリースしてはみたものの全く顧客に受け入れられない」という可能性もある。

これに対し、アジャイル開発とは、小さな単位で設計・実装・テスト・リリースを繰り返す開発手法である。これは例えば、ある特定のコア機能に絞って、2週間単位でリリースをしていくというような開発手法だ。アジャイル開発では単純計算で年間に26回のリリースが行われることになる。

アジャイルとは「素早い」、「機敏な」という意味だが、小さくても良いので素早く顧客に価値を届け、そこから顧客のニーズを学習することを重視する。アジャイル組織は、このアジャイル開発の考え方や働き方を開発チームだけでなく組織全体にスケールさせたものだ。これを「Agile at scale（アジャイル・アット・スケール」と呼ぶ。

この組織構造を取り入れることで、組織のすべての領域で顧客に対し素早く価値を届け、学習を繰り返すようになる。

なぜアジャイル組織が求められているか

マッキンゼー・アンド・カンパニーが行っている「McKinsey Global Survey（ビジネスリーダー2500人へのアンケート）」によると、回答者の75%が「組織のアジャイル化」を優先事項のトップ3に挙げている。アジャイル組織への移行が求められるようになったのは、変化が激しい競争環境になったことが最も大きな理由だ。

1900年代初頭から広がった中央集権型の組織は、Frederick Taylor（フレデリック・テイラー）氏が提唱した「科学的管理法」が起源と言われているが、これは現代より100年以上前の「変化が少ない世の中」を前提に設計されたものだ。

テイラー氏が提唱した組織管理の手法は、中央集権型の素晴らしい組織形態ではあるが、当時から100年が経ったいま、企業を取り巻く競争環境が大きく変わっている。破壊的テクノロジーの出現により、ある業界の競争のルールが一気に変わるといったことも起きている。Uberが自動車業界に現れ、モビリティの概念が変わるというのもその一例だ。

実際、世界の時価総額の上位は短い期間で大きく入れ替わるようになった。2008年と2018年の世界の時価総額トップ10の比較が以下だ。

このような世の中では、変化に適応できない企業は生き残ることが難しく、組織の柔軟性や変化への適応力が求められるようになっているのだ。

中央集権型組織とはまったく異なる、スクアッド単位の組織形態

アジャイル組織は中央集権型組織のピラミッド構造とは全く異なる組織形態を取る。下の図で表しているのが、アジャイル組織の例としてよく取り上げられるSpotifyやINGグループの組織形態だ（参照URL時点）。ちなみに、INGグループはオランダ発祥の金融機関で、従業員5万人を抱える大規模組織だ。

この組織では、スクアッド（分隊）というチームを基本単位として運営が行われます。スクアッドの特徴として挙げられるのは以下の通りだ。

• 9人以下のスタートアップのような雰囲気のチーム
• 後述のトライブの優先順位を鑑みて、目的、権限、責務が設定される
• 単独で顧客に価値を提供できる「End-to-Endの単位」で区切る
• プロダクトオーナーが設置され、仕事の優先順位付け、プロジェクトマネジメントを行う

スクアッドは、自分たちだけでアイデアを考え顧客に価値を届けるため、エンジニア、デザイナー、マーケター、営業、など様々な能力を持ったメンバーがアサインされる。機能別の縦割りのチームではないというのがポイントだ。下の例では、スクアッドごとにスマートフォンとPCに領域を分けていいる。自分達で単独で意思決定できる範囲で分割することがポイントだ。

そして、そのスクアッドがいくつも集まり、トライブ（部隊）となる。トライブの特徴は以下の通りだ。

• スクアッドの集合がトライブ（部隊）となる
• 最大で150人の規模
• チャプター、トライブリード、アジャイルコーチという役割を設置し、アジャイル型のワークスタイルが成り立つよう支援する

トライブの規模の目安は150人だ。これは「ダンバー数」という人間が安定的な関係を維持できる数を元に決められている。トライブリードは、トライブ内の優先順位を決めたり、予算をスクアッドに分配する役割がある。また、他のトライブとの情報共有も行う。

トライブリードのほかにも、アジャイルコーチという、スクアッドが高いパフォーマンスを上げることを手助けする役割も存在する。

また、トライブやスクアッドの他に、チャプターというスクアッドを横断した職種ごとのグループがあり、ナレッジの共有を行う。チャプターリードは、各メンバーのコーチングやパフォーマンス・マネジメントを行う。

アジャイル組織に移行するための5つのポイント

アジャイル組織に移行する上で重要なポイントは様々だが、特に重要なポイントは以下の通りだ。

1. 変化に強い組織への移行の意思決定
2. 素早い学習サイクル
3. End to Endの単位での組織設計
4. パーパス（目的）ドリブン
5. ピープルマネジメント

1.組織形態の変更の意思決定

アジャイル組織は、変化への適応を前提として設計される組織であり、中央集権型の組織と組織形態や運営哲学が異なる。中央集権型の組織形態のまま、権限を分散したり、アジャイル型の仕事の進め方を一部取り入れてもうまくいかないことが多い。中央集権型の組織から、組織形態を変更するトップの意思決定が必要だ。

2.素早い学習サイクル

アジャイル組織では、変化に適応するために学習を重視する。そのため、壮大で完璧な計画をするのではなく、コアの価値を素早く顧客に届け学習する「俊敏性の高いアジャイル型の仕事」が求められる。開発の領域だけでなく、バックオフィスなど組織のすべてに、学習を重視するアジャイル型の仕事を浸透させる努力が必要だ。

なお、バックオフィスなど従業員にサービスを提供するチームの場合は、「顧客＝従業員」と捉える考え方が有効だ。

3.End-to-Endの単位での組織設計

「End-to-End」とは「アイデアを考え顧客に価値を届けるまでの最初から最後まで」という意味を持つ言葉だ。組織として、素早い学習サイクルを担保するためには、アイデアから価値提供までを自律的に判断し、許可を取らずに迅速に実行できることが重要だ。そのため、スクアッドなど組織構造を設計する際にはEnd-to-Endを意識しなければならない。そして、各スクアッドには目的、権限、責務が設定される。

End-to-Endでチームを分割するので、そこにはエンジニア、デザイナー、マーケター、営業、など価値を届けるために必要なさまざまなメンバーがアサインされる。

4.パーパス（目的）ドリブン

End-to-Endで分割されたチームが自律的に動くためには、パーパス（目的）を明確にし、パーパスドリブンで動くことが非常に重要だ。組織全体の目的から、各トライブの目的が設定され、それを元にスクアッドの目的が設定される。目的が曖昧だと、各スクアッドが自律的に動けなくなってしまいます。

そのため、ミッションやビジョンが神棚に置かれている状態を脱却し、会社のメンバーが熱意を持って前進できるような魂のこもったミッションやビジョンが策定・運用されることが求められる。

5.ピープルマネジメント

アジャイル組織は、従来の中央集権型の組織のように上司がマネジメントをするという組織ではない。その代わりに、チャプターリードがコーチングやパフォーマンス・マネジメントを行う。これはメンバーの成功にコミットし、立て直しをする「ピープルマネジメント」と言えるだろう。人が自律的に動くためには、必ず立て直しをする役割が必要なのだ。

アジャイル組織への移行プロセス

アジャイル組織に移行する上では、パイロットチームでの施行後に組織にスケールさせることを繰り返していくことが一般的だ。

私が共同創業したRELATIONS株式会社が自律分散型の組織に移行する際も、上記プロセスを意識し、少しずつ組織に広げていった。

参考ソース：
Spotify Rhythm – Agila Sverige.pptx
ING’s agile transformation

関連記事：なぜスタートアップは自らを太らせるのか

カテゴリー：寄稿

タグ：コラム

【著者紹介】本稿は冨田憲二氏による寄稿記事だ。冨田氏は、ランナー向けSNS「runtrip」などを提供するラントリップの取締役。前職ではSmartNews（スマートニュース）のマーケティング、人事を務め、同組織を200名体制まで成長させた。同氏のnoteではスタートアップに関するさまざなコラムを展開している。

ーーー

私が尊敬してやまない経営者の1人にPatagonia（パタゴニア）の創業者であるYvon Chouinard（イヴォン・シュイナード）氏がいる。彼には自らの有名な著書「Let My People Go Surfing（社員をサーフィンに行かせよう）」などがあり、彼を起点としたパタゴニアのユニークな経営哲学に直に触れることができる。その他にも、それほど多くないイヴォンの思想に触れるリソースとして、何度も聴き返すお気に入りのポッドキャストがある。

NPRの「How I Built This」がいかにすばらしいかはここでは割愛するが、約30分のインタビューでイヴォンがつぶやく、シンプルで削ぎ落とされた経営哲学が何度も心に刺さる。そして、聴く度に今、自らが事業で直面している課題に関する、学びがある。

先日久々に聴き返し、改めて学びのあった一節をご紹介しよう。

彼は「成長」には2種類あると前置きした上で以下のように主張している。

One where you grow stronger, and one where you grow fat. You have to look out for growing fat.（一方は力強い成長、もう一方は「肥満」だ。会社が肥満体型にならないよう十分に注意が必要だ）

パタゴニアは公開企業ではなく、100％イヴォンのプライベートな会社として経営されている。急激な成長を目指さず、社会全体・地球環境全体の利益に根ざした意思決定をし、結果として力強い成長を続けている。

先ほどの一節は、彼自身が急激な成長を追い求め、突然のリセッションに家族経営スタイルの社員を解雇した苦しさを猛省した結果の学びとして語られているが、はてと周りを見渡すと「人を増やすことが正義」「組織成長イコール事業成長」という偏った志向やバイアスに踊らされて痛い目を見るスタートアップが多いように思う（自戒の念も込めて）。

もちろん、新たな人的リソースを投入し続けないと組織が成長し続けることはできない。結果、事業も会社も成長できないというのは理解できる考えで、実際正しい部分も多いとは思う。ただ問題なのは、その視点一辺倒だと致命的な組織・会社がつまづきかねないということだ。そんなバイアスを正しい視点に強制するリトマス試験紙として、「Growing fat（太る）」という言い回しが、今回妙にしっくりきたのだ。

太らせずに身体を大きく成長させる

経営や組織は、ときに「筋肉質」などと身体のように例えられることが多々ある。

このような言い回しにおいては「太らせずに健康的に身体を成長させること」が重要だという志向性がある。これは組織を身体として考えれば、異を唱える人は誰もいないだろう。

しかし、一旦猛烈なスタートアップレースに駆り出されると、なぜか定量的に「より多い」ことが正義であるような錯覚に陥ってしまう。売上やユーザー数は当然大いにこしたことはないが、ここでも事業のコアと直結しておらず、リテンションしない一時的な売上増は中長期では無意味だ（キャッシュポジション的に生き残るためのラーメン代稼ぎは別だが）。

また、調達額も組織の頭数も、なぜか多い方が「すげぇ」となってしまう。しかし、当然これは資本政策におけるダイリューションや、人員余剰のリスクを大いに孕んでいる。

にも関わらず、スタートアップレースではこのアクセルをベタ踏みし続ける「定量拡大」のマジックに陥ってしまうのだ。さて、スタートアップのブレーキはどこに行ったのだろうか。

特にエクイティをレバレッジに会社を伸ばそうとすると、ステークホルダーの時間軸で短距離高速レースを強いられるのは避けられない。むしろエクイティを選んだ時点で創業者が自らそのレースへの参加を意思決定したわけなので、言い訳できる隙もないだろう。

ただ、個別の市場環境や内部要因を鑑みて「一辺通りの成長スキーム」をどのスタートアップも適用するべきではないのは明白だ。かつ、オンリーワンのその会社・組織に合わせた、文字通り「太らせない」成長メソッドがあるはずであり、その本質を忘れないように、そして最後は「自らの身体に耳を傾ける」ということを忘れないように、短距離高速レースを勝ち抜いていきたいものだ。当然、自らそのルールに乗ったのであれば、そのルールの元で何としても勝ち抜く気概が何よりも重要だが。

脱メタボなハイカロリー組織へ

基本的にエクイティでレバレッジをかけるスタートアップの航海は、前提として船底に穴が空いているようなものだ。そして、半定期的な（業界では「シリーズ」と称する）外部補給で修理をしながら船を大きくし、船員を増やしながら目的地へ向けて一目散に邁進し続けている。

そんな「スタートアップ航海」において「不健康な増量」がいかにボトルネックなのかということは、言葉を尽くさずとも想像に難くないだろう。時に新型コロナのような致命的な社会経済的後退をともなう大波に襲われれば、船底の浸水速度、つまり船の沈没へのカウントダウンは劇的に加速する。

ただ、こういった「外部環境」の大変化は稀であり、それは当然航海の運命を左右する一撃必殺な危機ではあるものの、「不健康な増量」がリスキーである理由は目に見えない「内部環境」に起因する。

内部環境、つまり組織内部は、基本的に外から見えないほど複雑な生態系であり、人が増えることによるコミュニケーションラインの増大は計り知れない。感覚的には、その複雑さは組織のヘッドカウントの2乗にも3乗にも膨れ上がり、時には組織の負債として積み上がってしまう。

しかし、身体の不調と同じで、暴飲暴食のつけが不具合・病として表面化するにはタイムラグがある。これが本当に厄介だ。

そして、メタボな身体（組織）は「何をやるにもハイカロリー」という問題もある。メタボな身体は、何をやるにも腰が重い。情報共有と意思決定のための会議やコミュニケーションも多い。クイックな意思決定とスピードが命のスタートアップにおいて足枷となってしまうのだ。

そして「重い・遅い」だけならまだ良く、目に見えない進行性の「ガン」が見つかったり、重要な部分が複雑骨折してしまうこともある。その途端、スタートアップの航海は完全にストップし、船底からただ水が溢れかえる事態になりかねないのがスタートアップの常なのだ。

つまり、不健康に太った組織というのは「図体が重い」「機敏に動けない」「スタートアップの強みを活かせない」の三重苦となってしまう。

ゆえに「採用」の重要さが際立つわけだが、これは当然「人員計画通りヘッドカウントを増やし続ける」というオントラックが重要な訳ではない。「そのポジションは本当に必要なのか？」「その人が本当に今必要なのか？」「船員として今背負っていくに値する人材なのか？」。こういったスタートアップの慣性に反する問いを、拡大本能に一瞬だけ蓋をして、自らの身体に問いかけなければならない。

「誰を採用するか」より「誰を採用しないか」のほうが、はるかに大事なのだ。

もっと手前のレイヤーでいえば、トップダウンの人員計画に対してフェアに戦うことができる強い人事やミドルマネジメントも必要だ。さもなくば、「アクセル」だと思っていた採用戦略が「ブレーキ」になりかねない。自らの身体（組織）に耳を傾けて健全な新陳代謝・増量が実現できれば、「ブレーキ」だと思っていたものが実は「アクセル」だったということに気づくだろう。

自戒の意味も込めてここまで述べてきたが、このアクセルコントロールに細心の注意を払いながら、時に大胆に、目線を上げ続けて壮大なる航海を爆進したいものだ。

関連記事：進出から7年半で6775億円投じたインドでアマゾンは多くの問題に直面している

カテゴリー：寄稿

タグ：コラム

著者紹介：

Michelle Ferguson（ミッチェル・ファーガソン）氏はDream Corps（ドリームコープス）の国民共同体関係担当ディレクター。

Kasheef Wyzard（カシーフ・ウィザード）氏は、Dream Corps TECHの全国プログラミングイニシアチブ担当ディレクター。 

ーーー

パンデミックが再び米国を襲っている。昨年の状況から判断すれば、今回も全国的に大きな被害をもたらすだろう。とりわけ、有色人種コミュニティが受ける被害は今回も甚大なものになるだろう。

有色人種の感染者と死者は白人を上回り、有色人種が運営するビジネスとその従業員が受ける経済的打撃も白人経営企業に比べて大きなものになるだろう。

しかし、良いニュースもある。妥協点と具体的な解決策を見出そうとする動きもここへきて加速している。つまり、現在の泥沼的状況から脱する道筋が見えてきたのだ。

現状を見てみよう。パンデミックが長引くほど、現在の傾向に拍車がかかるだろう。新型コロナウイルス感染症が拡大する前から、オートメーションと先進のコンピューター技術は我々の働き方を変え、暮らしを弱体化させていた。2030年までには、テクノロジーとオートメーションは現存する何十万という仕事を絶滅の危機に追い込むだろう。

有色人種たちの場合、状況はもっと厳しい。オートメーションの対象となる職種では有色人種の割合が高いため、McKinsey（マッケンジー）の調査によると、アフリカ系アメリカ人の23.1%、ヒスパニック系アメリカ人の25.1%が、今後10年で自分たちの仕事が消滅したり大転換を遂げたりするのを目の当たりにすることになるという。パンデミックの前から見通しは暗かったのだ。

こうした変化によって、新しいハイテク系の仕事が生み出されるのだろうか。上記の有色人種たちは未来の経済環境で再教育を受け、新しいツールを習得して、仕事を見つけることができるのだろうか。

実際には、それはかなり難しい。2019年の時点で、オンラインのコーディングブートキャンプ（短期集中プログラマー養成サービス）の平均受講料は1人あたり14623ドル（約151万7501円）と高額だ。ローンや分割払い、所得分配契約（卒業後に一定期間受講料が給与から天引きされる）を利用したとしても、今の仕事が消えてしまう多くの人たちにとって手の届かない額だ。

パンデミックによって状況はさらに悪化している。低所得世帯の約80%が3か月暮らせるだけの貯蓄がなく、米国人の3分の1が今月の支払いにも窮することになるだろう。

良いニュースもなくはない。資金が豊富で高い利益を出している米国の大手企業は多様性のある人材を雇用し維持するのに苦戦している。良いニュースとは、そうした大手企業がそのことを自覚しているという点だ。彼らは、レプリゼンテーションの低い（過小評価された）コミュティに隠れている天才的な人材なくしては競争に勝ち残れないこと、そしてそうした人材の確保が現時点ではうまくいっていないことを認識している。

多くの企業がIT部門の1人の人材の採用活動に平均2万ドル（約207万円）を費やす用意があるが、多様性のあるコミュニティからIT部門の人材を雇用するにはその3倍の費用がかかる。そして採用後も、定着率という大きな問題が待ち受けている。2016年以来、大手テック企業における黒人およびラテン系社員の定着率は7%から5%に低下している。大手テック企業では多様性のある人材の入退社が日常茶飯事となっている。

言い換えると、多くの有能でクリエイティブな人材がハイテク職を求めており、その一方で、革新的な大手企業の多くがそうした人材を雇用し維持することに躍起になっているということだ。

このように相思相愛の状態から妥協点を見出すことができる。その1つのモデルが、今月開催されたドリームコープスのTECH Town Hallだ。TECH Town Hallでは、レプリゼンテーションの低いコミュニティ出身の活動家や教育者が業界のリーダーたちとパネルディスカッションを行う。彼らは互いに、単に質問や意見をぶつけ合うのではなく、双方が直面している問題と双方が協力する方法について話すために集まる。

#ICYMI Our TECH Town Hall is LIVE NOW with @VanJones68 @rubenharris@itsTanyaSam @TLM @dreamhustlecode @jammbermusic @Career_Karma @jammberceo

Tune in: https://t.co/I4KzWlj8a3 #YesWeCode #TECHTownHall @DreamCorpsTech pic.twitter.com/AhBmd5F7Z6

— Dream Corps (@thedreamcorps) December 8, 2020

たとえば、業界と教育界のリーダーが、奨学金とトレーニングプログラムに資金を出して、その後の仕事を保証することもできる。また、このパンデミックで子どもたちが学習の機会を奪われている最中、活動家とCEOたちは世界的なブロードバンドアクセス環境を推進して次世代のプログラマーに成功のチャンスを与えることができる。

企業はレプリゼンテーションの低いコミュニティに眠ったままの人材を採用することで、バイアスのあるアルゴリズムを排除し、多様性のあるグローバルな世界で競争を繰り広げ、パンデミック後に経済が変化する中、人々の暮らしを改善できる。

こうした妥協点を見出すアプローチを進めるには、成功のためにお互いが必要であることを双方が認識する必要がある。このアプローチは、そのほかの難題についても、必要な解決策を生む出すためのモデルになり得る。パンデミックの第二波が襲ってきていると同時に、妥協点を見出すことも緊急の課題となっている。どのように対応するかは我々次第だ。

関連記事：Human Capital：Instacartが約2000人を解雇へ、GitHubの人事責任者が辞任

カテゴリー：パブリック / ダイバーシティ

タグ：コラム

[原文へ]

（文：Michelle Ferguson、Kasheef Wyzard　翻訳：Dragonfly）

過去10年間に我々が世界と関わり、対話する方法に大きな変化が見られた。職業別電話帳はすでに細かく説明する必要がある概念であり、そんなことを試みれば我々は年齢を思い知らせることになる。今の世界はスマートフォンとそのアプリの中にある。

我々はGoogle（グーグル）が約束したように「あらゆる情報を指先に」置いた世界のメリットを享受しているが、利便性と引き換えにプライバシーはそのかけらさえ放棄して顧みない。

我々は巨大テクノロジー企業があるときは無謀さで、あるときは計算づくで構築してきた線をまたいでいる。この線はアプリの開発者とアプリストアのさまざまな要求に我々が同意するにつれ、長い時間をかけてできてきた。

個人データを吸い込むブラックホール

SymantecによればAndroidアプリの89％、iOSアプリの39％が個人情報へのアクセスを必要としている。このデータの使用はリスクを孕んでいる。アプリケーションのパフォーマンスを改善させる（フィットネスアプリには各種の個人データが必要だろう）場合もあるが、、広告ターゲティングのためのデモグラフィックデータを得たい場合もある。どちらの場合の我々の個人情報はクラウドサーバーに送られる。

データを得た大企業は、長期にわたって保存されていない、あるいは悪用されていないと主張するだろう。しかしモバイルアプリを使えば、詳細な利用ログが残るのはまぎれもない事実だ。テクノロジー企業はデータが移動中に失われないよう（複数のコピーを）保持している。世界中のサーバーが互いにデータを流し続けるにつれて、我々の個人データはますます遠く離れたサーバーに移っていく。

我々はきちんと規約を読まないまま、アプリの利用条件に同意してしまうのが普通だ。すると私たちのプライベートデータはもはやプライベートではなくなる。データはクラウドの中にあるわけだが、このコンセプトは長年にわたって正確な理解をすりぬけてきた。

まず、クラウドベースのアプリとクラウドコンピューティングの違いを説明する必要がある。企業レベルでのクラウドコンピューティングは、長年に渡って議論が続いたものの、多くの企業にとって安全でコスト効率の高い選択肢であるというのがコンセンサスだ。

2010年の時点でさえMicrosoft（マイクロソフト）は、クラウドベースまたはクラウド関連のプロジェクトに取り組んでいるエンジニアは70％に上り、この数字は1年以内に90％にアップなると予測していた。しかしこれは一般ユーザーが極めて個人的かつプライベートなデータを保存するためにクラウドに頼るようになる前のことだ。

クラウドにかかる雲が混乱を増幅

この問題をさらに複雑にしているのは「プラバシー保護アプリ」だ。こうしたアプリは、その名の通り、スマートフォン上にある他のアプリの活動からプライバシーを保護するためのアプリだということになっている。しかしプライバシーという飾りを剥がしてみれば、プライバシー保護アプリ自体が驚くべきレベルで個人データへのアクセスを要求していることがわかる。「プライバシー保護」という糧語彙リーでなければ、ユーザーは眉をひそめて警戒したに違いない。

秘匿鍵でデータを暗号化する場合を考えてみよう。どんな方式で何段階にもわたって鍵を暗号化したにせよ、最後の鍵、最も重要な鍵は暗号化できない。ここには「Win-Win」のシナリオはない。医師がカルテを読んで病歴以外の個人データを知るのと同様の容易さで、プライバシー保護アプリはユーザーが他のアプリで何を購入したか発見できる。

クラウドは目に見えず、データの提供者である我々が直接アクセスする方法もない。企業は独自のクラウドサーバーを持ち、それぞれが似たようなデータを収集している。しかし我々はなぜこのデータを提供するのかよく考えておかねばならない。見返りに何を得るのか？アプリは生活を楽にしたり、より良いものにしたりするのだろう。しかしこれらは本質的にはサービスだ。クラウド上行われるこのサービス、トランザクションのサービス側こそが問題なのだ。

アプリ開発者は、個人データを保存する必要のないサービス提供の方法を見つけなければならない。これには2つの側面がある。まず第一にユーザーのローカルデバイス内で機能するアルゴリズムを作ることだ。クラウドに吸い上げられ他のデータと混在する方式はリスクが大きい。第二に個人データに関するテクノロジー業界の態度全般を変えねばならない。現在は個人データが無料提供されるサービスのコストを担っている（最終的にはターゲティング広告といった企業マーケティングに利用される）。

個人データの収集と企業マーケティングの統合によって成功してきた既存の巨大データ企業に、この点の変化を求めてもムダだろう。だからこそ、新しい企業のチャレンジに期待する。つまりクラウドにおいてもプライバシーを提供しつつ料金を支払う価値のあるサービスを提供するというチャレンジだ。これにはリスクがあるが、この変化はどうしても必要だ。世の中に無料のものはない。そもそもこの状況に陥ってしまったのは我々が「無料」という看板に釣られてしまったからだともいえる。

プライバシーにかかる雲を吹き払わねばならない

最低限、我々が個人としてできることは、まず健全な警戒心を持つことだ。個人データが世界中に散在するクラウドサーバーへ流れていくことを止めることができないにせよ、不必要に個人データを収集するバカげた構造のアプリの利用を控えることはできる。たとえばゲームアプリは作動するために連絡先へのアクセスを必要とするはずはない。Facebook（フェイスブック）が我々のことを異常によく知っている理由は、カメラアプリをはじめスマートフォン内のほとんどの機能にアクセスできるからだ。銀行口座と連動していれば、Facebookは口座の残高まで知っている。

このデータ収集はアプリとクラウドの双方のレベルで行われる。アプリを使う時の条件をよく考慮する必要がある例の1つだ。アプリにサインインするときに、Facebookのようなソーシャルアカウントを利用すると個人データの収集はいっそう容易なものになる。

クラウドは別に全能の悪魔というわけではないが、個人データの大量収集を可能にするツールであり、また口実としても使われている。

将来はデバイスやアプリが自己完結型となり、ローカルのデバイス内でユーザーが個人情報ををコントロールできるようになる方向に向かうだろう。クラウド上のアプリやデータへのアクセス方法も変化し、サービス提供方法の変更を余儀なくされるような機能が必要となるはずだ。クラウドは公共データストレージ機能に限定される。プライベートデータは本来あるべき場所、つまりユーザーのデバイス上にのみ保存されるのでなければならない。外部に残したデータのプライバシーが失われないよう、我々は一丸となってこの変化を推進しなければなならない。

【Japan編集部】著者のMichael Huth（マイケル・フート）博士はXaynの共同ファウンダーでCTO。インペリアル・カレッジ・ロンドン教授。専門分野はサイバーセキュリティ、暗号化、数学モデリング、機械学習におけるセキュリティとプライバシー。

カテゴリー：セキュリティ

タグ：プライバシー、クラウドコンピューティング、コラム

画像クレジット：PM Images / Getty Images

［原文へ］

（翻訳：滑川海彦@Facebook）

著者紹介：職業ハッカーのDavid “Moose” Wolpoff（デビッド「ムース」ウォルポフ）氏は、自動レッドチーム演習プラットフォームを構築している企業、Randori（ランドリ）のCTO兼共同創設者である。

ーーー

セキュリティ業界では、FireEye（ファイアアイ）へのハッキング攻撃のニュースと、SolarWinds（ソーラーウィンズ）へのサプライチェーン攻撃が原因で（または、少なくともそれが一因で）米国財務省、米国国土安全保障省などのいくつかの政府機関がハッキングされたという発表が関心を呼んでいる。

これらの攻撃は、「誰もリスクやハッキングを免れることはできない」という現実を思い出させてくれるものである。ファイアアイもソーラーウィンズもセキュリティに真剣に取り組んでいることは間違いない。しかし、どの企業も「セキュリティ侵害は避けられない」という同じ現実にさらされている。

筆者はこうした攻撃を、「誰かがハッキングされたかどうか」ではなく、「セキュリティ侵害を成功させるために攻撃者がどれほどの労力を費やす必要があったか」という視点で判断することにしている。ファイアアイは機密性の高いツールやアクセスの保護に力を入れているため、ロシアのハッキング集団は侵入するために驚くほどの労力を投入せざるを得ないと聞いたことがある。

ファイアアイがセキュリティに熱心に取り組んでいることは、対策ツールの公開に向けた動きが速かったことからも明白だ。ソーラーウィンズへの攻撃は即座に甚大な影響を及ぼしたが、攻撃全体の詳細がわかるまでは、ソーラーウィンズについての意見を述べるのは差し控えることにする。サプライチェーンを横断する侵害は非常にめずらしいケースとはいえ、これからも続くからだ。

これだけは言っておくが、このニュースは筆者にとって意外なものではない。セキュリティ企業は攻撃者にとって最高の標的であり、ロシアのような国民国家は、ファイアアイの顧客保護能力を阻害するためにどんなことでもやるだろうと思っているからだ。ファイアアイは多くの企業組織と信頼関係を築いていることから、スパイ活動の格好の標的になっている。政府機関や大企業の顧客を数多く抱えているソーラーウィンズは、能力を最大限に発揮することを目指す攻撃者にとっては理想的な標的である。

画像クレジット：David Wolpoff

ロシアのハッキング集団は、ソーラーウィンズを一度ハッキングすれば、同社の重要な顧客の多くにも侵入できるようになる。国民国家の支援を受けた攻撃者がサプライチェーンを攻撃するのはこれが初めてではないし、最後でもないだろう。

セキュリティ業界の大企業にとって、今回の攻撃はテクノロジーソリューションへの信用と信頼について再考する良い機会だ。このような侵害は、目に見えない危険を確かに負っていることへの注意喚起である。つまり、組織は、概して適切なリスク回避策を講じていないプロバイダーを通じて蓄積されたリスクにより、甚大な危害を被る可能性があるということだ。

人は「マネージドセキュリティサービスプロバイダー（MSSP）、セキュリティベンダー、またはテクノロジーベンダーが侵害されたらどうなるだろう」と問うべきだ。ソーラーウィンズのハッキングだけを見ず、自分の環境にアップデートをプッシュできるすべてのベンダーを見直すべきである。

絶対に侵害されないツールなど1つもないのだ。

ファイアアイやソーラーウィンズなど、自社の環境内のすべてのベンダーがいつかは侵害されることを想定しておく必要がある。障害が発生したとき、「残りの対策だけで十分だろうか。組織には回復力があるだろうか」ということを確認しなければならない。

障害が発生した場合のバックアップ計画の内容を、あなたは知っているだろうか。

セキュリティプログラムがファイアアイに大きく依存している（つまりファイアアイが主なセキュリティプラットフォームである）場合、セキュリティプログラムはファイアアイのプログラムの実装、実行、監査をファイアアイ自体に任せることになり、担当者も経営者もそのことを受け入れる必要がある。

多くの場合、組織は、VPN、ファイアウォール、監視ソリューション、ネットワークセグメンテーションデバイスなどの複数の機能をカバーするために、単一のセキュリティソリューションを購入する。しかしその場合、単一障害点を持つことになり、コンピューターが動作しなくなると（またはハッキングされると）、環境全体で障害が発生してしまう。

構造的な観点から見た場合、ソーラーウィンズのようなものが侵入ポイントになると、影響が広範囲に及ばないようにするのは難しい。しかし環境内のすべてのものと通信、連携するソーラーウィンズのOrionプラットフォームを信頼したということはつまり、「今回のような侵害が発生することはないだろう」と考えてリスクを負ったということである。筆者は、ツール（またはサービス）の利用について考えるとき必ず、「これが故障したりハッキングされたりしたときに、どのようにそのことを知り、どう対処すればいいのか」という点について考える。

「保険をかけておけばいい」といった単純な答えが出ることもあるが、筆者がもっと頻繁に考えているのは、防衛者に何らかのシグナルを送るための別の方法だ。今回のようにソーラーウィンズが侵入経路になった場合に、ネットワークがロシアにトラフィックを送信していることを示すシグナルがスタック内の何か他のものによって防衛者に伝えられるようにする仕組みが、何かないだろうか。

耐障害性の高いセキュリティプログラムを構築するのは簡単ではなく、実際、乗り越えるのが非常に難しい課題である。完璧な製品やベンダーがないことは何度も証明されている。制御層を幾重にも重ねる必要がある。「何が起こり得るか」を想定したシナリオを一通り確認してほしい。多重防御と前方防衛に重点を置いている組織は、より強い回復力を持つことになる。重要なデータがあっさりロシアの手に渡ることがないよう、ハッカーが欲しいものにたどり着くまでに何度も失敗するような対策を講じる必要がある。

確率と可能性の観点から考えて、基本的なセキュリティの偶発的な変更を防止するための管理体制を整えることが非常に重要である。最小権限の原則を標準とし、多セグメント化によって、急速な横方向の動きを防ぐ必要がある。また、監視と警告に基づいて攻撃への対応を開始すべきだ。異常な逸脱が発生した場合は、フェイルセーフを起動する必要がある。レッドチーム演習（現実に近い攻撃を実際に行ってセキュリティ対策の実効性を検証するテスト）を実施して、攻撃にどれだけ太刀打ちできるかを確認し、失敗から学ぼう。

ファイアアイに対するセキュリティ侵害の影響は大きな注目を集めた。実際、ロシアにはすでにファイアアイのツールと同等のツールがある。そのため、専門家たちはツール自体のことで大げさに騒ぎ立てたいのかもしれないが、実のところ、今回の件は2017年に米国国家安全保障局（NSA）のツールが流出したときと同じ事態にはならなそうだ。

NSAから流出したエクスプロイトは非常に優れており、敵側がすぐにでも利用できるものだった。また、Shadow Brokers（シャドー・ブローカーズ）によるハッキングにこのエクスプロイトが使われたため、業界は一時的に、以前よりも高いリスクに直面することになった。しかし、このエクスプロイトは、今回ファイアアイから窃取されたルートキットやマルウェアとは異なる。ファイアアイのケースでは、ゼロデイ脆弱性に関する情報やエクスプロイトは盗まれていないようなので、今回の侵害が甚大な衝撃波を引き起こすとは考えにくい。

このような大規模な侵害はこれからも起こるだろう。あなたの組織が侵害に対して高い回復力を持っている必要があるなら、今から侵害に備えておくことをお勧めする。

関連記事：欧州医薬品庁が不正に操作された新型コロナワクチンデータのリークを警告

カテゴリー：セキュリティ

タグ：ハッカー　コラム

[原文へ]

（翻訳：Dragonfly）

著者紹介：Vijay Sundaram（ヴィジェイ・スンダラム）氏は、ManageEngineの親会社であるZoho Corporation（ゾーホー）のCTO（最高戦略責任者）。企業戦略および執行からチャネル管理、事業開発、企業販売に至るまで、複数の領域を指揮/担当している。

ーーー

我々消費者は、自分たちが使いたいサービスやソリューションにアクセスする際、Google、Facebook、Twitterなどの企業に個人データを提供することを気にしないものだ。しかし多くの人は、水面下でこうした企業がデータ収集をビジネスモデルに統合し、データ収集監視組織として機能していることを理解していない。

ユーザーには認識されていないが、多くの企業はサードパーティが自社のウェブサイトに埋め込みコードを設置することを許可しており、そのコードはユーザーの行動を捕捉し、収集または販売するために利用されている。ZohoのチーフエバンジェリストであるRaju Vegesna（ラジュ・ヴェジェスナ）氏が指摘するこの「副次的な監視」は、ユーザーや投資家を始め、ビジネスリーダーたちからの抵抗を受けずに一般的な慣行となってきた。

こうした監視の振り子が大きく揺れすぎていることは、思慮深い人の間で重大視されてきている。つまり企業がなんの規制もなくユーザーデータ収集や共有を行うことへの懸念だ。実際、副次的監視に対する規制が厳しくなってきており、EUのGDPR、カリフォルニアのCCPA、ニューヨークのSHIELD法、ブラジルのLGPDなどのデータプライバシーに関する法律がここ数年で次々と制定された。

政府の規制強化と社会意識の高まりを受けて、企業のリーダーたちはこの問題に目を向け始めている。しかし、政治家や規制当局の動きに頼るだけでは不十分だ。また法律用語や細かい文字で埋め尽くされた通知文書を根拠として法を遵守しているとしても、それでは十分とは言えない。この種のマキャベリ的な手法は形式的には正当かもしれないが、道徳的ではない。

テック業界のリーダーたちにとって、プライバシーに関する誓約を正式かつ明白に遵守する立場を示す時期に来ているだろう。

ユーザーへの通知なく広告会社にユーザーを追跡させない

企業がユーザーデータをサードパーティの広告主に販売することで事業を成り立たせている場合、データがどのようなことに使用されるのかをユーザーに知らせることが重要だ。場合によってはそうした情報をユーザーに開示しないことが法的に認められる可能性はあるが、これは適切ではない。

1996年の創業以来、ManageEngine（当時はZohoとしてビジネスを行っていた）は自社のウェブサイトや製品にサードパーティーの広告を掲載することを拒否してきた。すべての副次的な監視を阻止するため、サードパーティーの追跡コードを自社サイト内に埋め込むことを一切許可していない。ソーシャルメディアのシェアボタンは無害に見えるかもしれないが、本質的にトロイの木馬として機能し得るため、同様に排除されるべきであろう。

サードパーティとの統合がユーザーデータの追跡につながる可能性のある場合は顧客に通知する

もし企業がそうした活動に財政的に依存しているのであれば、透明性を保つ必要がある。たとえばGoogle（グーグル）を例にとると、Gmailを使うことに問題はないとほとんどの人が認識しているが、それは検索大手にデータを提供するだけの価値をユーザーが見い出しているからだ。しかし、Googleがユーザーデータを利用してクレジットカード会社やヘルスケア会社との提携を密かに結んでいるとすれば、話はまったく別だ。

Googleは2018年に医療団体Ascensionと提携し、Ascensionの患者には知らされていなかったデータ共有プロジェクト「Project Nightingale」を開始した。その後の調査で、Googleは実用面でHIPAAやその他の法律に違反していないことが判明したが、このスクープがなければ一般の人々はこの計画について知ることすらなかっただろう。また、この種の非公式な健康データのパートナーシップは他にも広く行われている可能性が高い。

もう1つの例として、GoogleはMastercard（マスターカード）と秘密裏に提携し、Amazon（アマゾン）と競合して消費者小売支出データを収集していた。この秘密の提携関係が露呈した際、両社は顧客の個人情報を一切共有していないと主張した。Googleによると、ユーザーデータを統合し匿名化した形で保護するダブル・ブラインド式暗号化技術を利用したという。両社はユーザーの個人情報はすべて「身元が特定されていない」と繰り返し主張したものの、MastercardやGoogleのユーザーにこの契約が公表されたことは一度もなかった。おそらくこのMastercardとの提携はGoogleにとって単発のものではないだろう。GoogleはAdWordsのブログ（現在はGoogle広告コミュニティに統合）を通じて、クレジットカードとデビットカード所有者の情報のうち70%にアクセスがあることを言明している。

この話の教訓は何であろうか。Googleのようであってはならないということだ。

暗号化ツールを使用して、パブリックネットワーク経由で転送される顧客データを保護する

企業がパブリックネットワーク経由でユーザーデータを送信する場合、必ずすべてのサーバー接続で強力な暗号化を使用する必要がある。ハイパーテキスト転送プロトコルセキュア（HTTPS）およびトランスポート層セキュリティ（TLS）プロトコルに従って、ウェブブラウザ、企業のサーバー、およびすべてのサードパーティ製サーバー間に常に安全な接続があることを確実にする。TLSプロトコルは両者の認証を可能にするだけでなく、データを暗号化し、第三者がデータ転送プロセスを盗聴または妨害することを防ぐ。

社内データセンターへの投資を検討する

経済的に実現可能であれば、企業は自社のデータセンターに顧客データを保存するか、データセンター内のサーバーを所有するべきである。サードパーティのデータセンターやパブリッククラウドに依存しないことで、データプライバシーイニシアティブを強化できるだけでなく、時間の経過とともにコストも削減できる可能性がある。さらに、ユーザーデータを保護するために努力している企業を評価するユーザーが増えてくれば、企業にとってもメリットがある。

ManageEngineはプライベート企業であるため外部の株主に依存することはなく、経営者は財務的な視点ではなく理念的な視点で物事を見ることができる。創業当初からユーザーのプライバシーを重視する姿勢を貫いているが、現在の監視環境は組織内でかなりの反発を招いている。確かに同社はプライバシーに関するこのような強硬路線を取ることで、多少のビジネスチャンスを逃しているかもしれない。

しかし、ヴェジェスナ氏は次のように問いかけるという。「企業が金銭的に成功しても、道徳的に破綻した場合、価値はあるでしょうか」 。

関連記事：米上院議員クロブシャー氏がAmazonのフィットネストラッカーHaloについてプライバシー面の懸念を表明

カテゴリー：セキュリティ

タグ：コラム　プライバシー

[原文へ]

（翻訳：Dragonfly）