前回のコラムでは、セキュア運用を実現する上で大前提となる「自分達の運用を知る(把握する)」ことのうち、運用への「期待」の把握について考察してきました。 最終回の今回は、自分達の運用の「価値」および「リスク」の把握について考察していきたいと思います。

なぜ、セキュア運用を考える上で、運用の価値を知る必要があるのでしょうか。

運用業務は、ほとんどの場合何らかのビジネスを支えるもしくはビジネス自体を遂行するために行われます。 そして、ビジネスを維持継続するためには、何らかのリスクを負いつつ一定以上の利得を獲得する必要があります。リスクの高いビジネスは利得も高く、リスクの低いビジネスは利得が低いと一般的に考えられています。

そして、利得の高いビジネスについては費やせる予算が潤沢になり得ますが、利得の低いビジネスについてはその予算が極めて限定的にならざるを得ません。つまり、ハイリスクで利得の高いビジネスにおいてはリスク制御に一定の予算が見込まれる一方で、利得の低いビジネスにもかかわらず高いリスクを抱えているのであれば、リスクに備えるために必要な予算を確保できない可能性が高くなると言えます。

後者のようなアンバランスが、経営判断やリスク判断の結果として維持されているのであればそれは一つの選択肢ですが、日々多忙を極める運用現場においては、そのアンバランスに気付いていないことや、事業都合を優先することで運用現場の実情に基づいたリスク評価がきちんとできないまま運用を開始するなど、その利得に見合わないリスクを抱えているのが多くの運用現場の実情でしょう。

このような状況化で運用現場がセキュアな運用を実践するためには、その運用現場が持つ業務の価値(「運用の価値」)と、その業務が持ちうるリスク(「起こりうるリスク」)を何らかの方法で客観化し、ビジネス価値とリスクのアンバランスを解消もしくは制御する必要があります。

目次

1. サービス価値とデリバリ価値

2. 運用の「サービス価値」

3. 運用のデリバリ価値

4. まとめ

1. サービス価値とデリバリ価値

本連載の第3回で、「運用」を「サービスデリバリ」と捉えるメリットについて解説しました。 この中で、運用現場は「サービス」と「デリバリ」の専門家集団であり、その専門性は「サービス価値」と「デリバリ価値」の2つを向上させることだと説明しています。

今回は「運用の価値」はこれら2つの価値の組み合わせで表現されると考え、それぞれについて考察していきます。

2. 運用の「サービス価値」

さて、運用の「サービス価値」とは何でしょうか? これを考えるには、運用の「サービス」とは何かを定義する必要があります。

2-1. 「サービス」とは

一般的に、運用現場では何らかの依頼を受けることではじめて業務が発生します。 この依頼は、何かの作業をする単発のものだったり、新たな業務の受け入れのような長期継続するものだったりします。 これら「依頼」は概ね、依頼者が何かの「課題」を抱えており、みなさんの運用現場に対してその「課題」の解決を依頼してきていると考えることができます。

これはエンドユーザの課題を(有償で)解決する場合や、社内ユーザの課題を解決する場合が一般的ですが、誰かの課題を解決することを間接的に支援するケースもあります。 いずれにしても、誰かの「課題を解決すること」が「運用業務」であり、運用現場の主要な価値(コアコンピタンス)であると考えることができます。

「課題が発生しないように維持すること」が主任務となる運用現場もありますが、維持の対象となるものが「どんな課題を解決するために運用されているのか」を考えることで、自分達の業務が何を解決するために必要とされており、どのような価値を提供できるかを考えることができます。

運用業務においては、自分達の運用現場内部の課題を解決するケースもあります。これは内部に対する「サービス」と考えることもできます。つまり、運用現場における全ての業務は外部もしくは内部に対する「サービス」であると捉えることができるのです。

ただし、内部に対する「サービス」は、他者に対して価値を提供していないため、「運用の価値」として外部からの評価対象とはならない点は留意が必要です。

これら「サービス」の価値は、「その運用現場でしかできないこと/やらないこと」を源泉として生まれます。なぜなら、他社や他部署でできることは、なにもその運用現場でやる必要が無いからです。 つまり、サービス価値は「独自性」から生まれる、ということになります。

2-2. 「サービス価値」を表現する「サービスカタログ」

運用現場の「サービス価値」を明確にするには、その運用現場が提供している「サービス」の一覧が不可欠です。 一般的にこのような一覧のことを「サービスカタログ」と呼びます。

ここでは、その事業体がユーザに提供しているサービスの一覧である「ビジネスサービスカタログ」と、それを支えるために各内部組織が相互に提供しているサービスの一覧である「オペレーションサービスカタログ」について簡単に説明していきます。

ビジネスサービスカタログ

売上の対象単位を示す「ビジネスメニュー」上に記載された各メニューを、実際に提供するために行う活動を「ビジネスサービス」と定義します。 これは、顧客からの申し込みに対する対応だったり、サポート要求に対するレスポンスだったりします。このビジネスサービスを実際のビジネス価値の観点で一覧にしたサービスカタログが「ビジネスサービスカタログ」で、ユーザと運用現場との接点と、そこで提供される価値を示します。

あらゆる運用現場のビジネス価値は、自社が提供するビジネスサービスのユーザとの接点で生まれます。 仮に、直接的にユーザと接点が無い運用現場であっても、他部署を介して何らかの形で自部署の価値をユーザに届けているはずです。 この最終的なビジネス価値を各運用現場と紐付けるために、ビジネスサービスカタログはとても重要な意味を持ちます。

ビジネスサービスカタログでは、主に下記の項目が必要になります。

• ビジネスサービス名称
• 関連するビジネスメニュー
• ユーザとの接点
• 解決できる「ユーザの課題」 (提供している価値)
• 一般的な納期(QCDのD)、コスト(QCDのC)
• 品質基準(QCDのQ)
• サービスオーナ (個人名)
• 担当部署

ここで、サービスオーナが個人になっているのは、組織変更などの時に引き継ぎされないことを回避することと、最終的に一番詳しい人は誰なのか、を明示するためです。これはリスクを放置しない、という観点からとても重要です。

「セキュアな運用」の観点からは更に下記の項目が必要になります。

• 想定される脅威
• 内在しうる脆弱性

セキュアな運用を実現するためには、ビジネスサービスカタログを作成する時点で、そのビジネスが持ちうる「価値」と抱えうる「リスク」の洗い出しを行うことが最も必要なこととなります。 リスクのわからないビジネスをセキュアに運用することは、根本的に無理な話だからです。

ビジネスサービスカタログ作成の段階で、明確な「価値」を提示できないサービスは早期に閉じるべきです。これは「ハイリスク、ノーリターン」をビジネスおよび運用現場にもたらすからです。

オペレーションサービスカタログ

「ビジネスサービスカタログ」に記載された各ビジネスサービスは、その窓口となる部署単体で完結して提供できることは稀で、一般的には供給元となる部署や支援する部署が存在することで成立しています。 この、供給元部署や支援部署が提供する社内活動を「オペレーションサービス」と定義し、一覧にしたサービスカタログが「オペレーションサービスカタログ」となります。

改めてビジネスの関係を考えてみると、ビジネスサービス単体でビジネスが成立しているわけではなく、ビジネスサービスを支えるオペレーションサービスの価値の総和が、ビジネスサービスの価値となっていると言えます。 このことは、オペレーションサービスはビジネスの根幹の一つであることを意味するとともに、ビジネスサービスの価値に貢献しないオペレーションサービスはその価値が評価できない、と言えます。

なにかとコストセンターと見られやすい運用現場ですが、このように「オペレーションサービスカタログ」を作成してビジネスに貢献していることを示すことで、コストセンター(販管費)扱いではなくプロフィットセンター(売上原価)としての「オペレーションサービス」を評価することに繋がります。

オペレーションサービスカタログは全社的なマスタ情報として作成し、主に下記の項目が必要になります。

• オペレーションサービス名称
• 解決できる課題 (提供している価値)
• 一般的な納期(QCDのD)、(さらに可能であればコスト(QCDのC))
• 品質基準(QCDのQ)
• 依頼方法
• サービスオーナ (個人名)

「セキュアな運用」の観点からは、オペレーションサービスカタログにおいても、下記の項目が必要になります。

• 想定される脅威
• 内在しうる脆弱性 (概要)

ビジネスサービスカタログと同様に、オペレーションサービスカタログを作成する時点で、そのオペレーションが持ちうる「価値」と抱えうる「リスク」の洗い出しを行うことが必要となります。 なぜなら、ここで明確になったオペレーションの価値とリスクが、この後の「デリバリ価値」を評価するための前提となるからです。

3. 運用のデリバリ価値

運用の「デリバリ価値」とは何でしょうか?

これは割と運用現場の方々にはイメージしやすいと思いますが、デリバリ価値とは「サービスを安定的合理的に提供すること」です。

デリバリ価値が最も認められやすい業務活動には、主に以下の3つがあります。

1. 高度な反復性、再現性が求められる業務活動。
2. 独自性よりも安定性、合理性が価値を持つ業務活動。
3. 定量評価による合理性検証を前提とした業務活動。

事業継続性と関わる全ての定常業務は「デリバリ」と捉えることができるでしょう。

ITエンジニアにとっての「自動化」は、デリバリ価値を恒常的に維持拡大するための作業と捉えていただくとわかりやすいと思います。 デリバリ価値の根源は、エンジニアリングにあると言っても過言ではありません。

セキュア運用の観点では、この自動化を、効率化という観点よりも、事故防止観点から捉えることが重要です。 工業化の発展の過程で、当初は生産の効率化が重点に置かれていましたが、その社会基盤としての重要性や事故発生時のコストが甚大なことから、事故防止の比重が高くなってきました。 そこで生まれたのが「作業者保護」の思想です。 IT業務においては、この「作業者保護」の観点からの事故防護策やトラブル予兆の検知がまだまだ未熟な段階です。

セキュリティインシデント発生の多くが内部経路から発生している現状を鑑みると、業務フローを論理上の「生産ライン」と捉え、悪意の有無を問わず作業者を保護する観点でデリバリの設計と評価が必要となっていくでしょう。

ITエンジニアは、この「デリバリ」について造詣が深く、熱心に注力するのですが、デリバリはあくまでも「手段」に過ぎず、「サービス」を提供することが「目的」であることは、常に意識しておく必要があります。

4. まとめ

今回は、セキュア運用を実現する上で大前提となる「自分達の運用を知る(把握する)」ことのうち、運用の「価値」の把握につい考察しました。

セキュア運用を考える上で、現状を知ることは何よりも大事な前提になります。なぜなら、この後の判断や制御は、把握の土台の上に建物を築くことに等しいからです。

今回のコラムでは、判断や制御の話に踏み込むことはできませんでしたが、現状を知り、理想を決めることができれば『「セキュア運用」の実現は半分以上完了した』と考えて差し支えないでしょう。

以上をもって、コラム『「セキュアな運用」を考える』は終了となります。読者のみなさまのセキュア運用実現の上で参考になれば幸いです。 短い間でしたが、ありがとうございました。