経験・行動面接

例えば次のように話します。「社員約300人の会社で、平日の昼に『メールが届かない』という問い合わせが急に増えました。当番として切り分けを任され、まず Microsoft 365 のサービス正常性で障害が出ていないことを確かめ、直前の変更を調べました。前日にメール配信サービスのために SPF のレコードを書き換えた際、既存の include を消していたことが原因でした。

レコードを直し、その間は30分ごとに影響と回避策を全社に投稿して、問い合わせを減らしました。約1時間で復旧し、その後、DNS の変更は2人で確認する手順と、DMARC レポートの監視を加えました。原因が自分たちの変更だったので、変更の記録と確認の仕組みを作ったことがいちばんの学びです」。

例えば次のように話します。「社員約200人で SaaS が約30ある会社で、退職の連絡がメールで来て、情シスが手作業でアカウントを止めていました。月に約20件、1件30分かかり、棚卸しのたびに止め忘れが見つかっていました。

人事システムを正にして、退職日をきっかけに IdP を止め、SCIM に対応した SaaS は自動で無効に、対応していないものは担当者へのチケットを自動で作る形にしました。人事とは入力のルールを、各 SaaS の持ち主とは SSO への切り替えを相談しました。結果、1件数分になり、次の棚卸しで止め忘れは見つかりませんでした。作った仕組みは手順書と台帳に残し、ほかの担当者も直せるようにしています」。

例えば次のように話します。「社外からのアクセスに、会社の管理する端末だけを許可する条件付きアクセスを入れようとしたとき、営業部から『外出先で私物のスマホが使えないと仕事にならない』と反対されました。

まず営業の人に、どんな場面で何を使っているかを聞き、必要なのはメールと予定の確認、顧客情報の閲覧だと分かりました。そこで、私物のスマホは仕事用のアプリだけを管理する方法で登録すればメールと予定を使え、顧客管理はブラウザでの閲覧だけ許可する案を出しました。通知だけの期間を2週間置き、困った人には個別に設定を手伝いました。結果、営業部も含めて全社で有効にでき、問い合わせは最初の週に集中しただけで落ち着きました」。

例えば次のように話します。「条件付きアクセスで古い認証方式を止めるポリシーを、影響を確かめずに有効にしてしまい、複合機のスキャンをメールで送る機能が止まりました。複合機が古い方式でメールを送っていたことを知らなかったのが原因です。

すぐにポリシーから複合機用のアカウントを一時的に外して戻し、その後、複合機の送信方法を変えてから改めて有効にしました。この経験から、新しいポリシーは必ずレポートだけのモードで1〜2週間影響を確かめる、サインインのログで古い方式を使っているものを先に洗い出す、という手順を決めました。それ以降、ポリシーの変更で業務を止めたことはありません」。

例えば次のように話します。「今の会社では、IdP と MDM を入れ、入退社の自動化まで進めることができました。次は、会社が大きく成長する中で、ゼロトラストへの移行や生成 AI の全社導入のような、より大きな変化を仕組みから作る仕事に挑戦したいと考えています。

御社は在宅中心の働き方で人数が増えていると伺い、ID と端末を中心にした守りと、入社の自動化の経験がすぐに生かせると考えました。また、情シスが業務の改善まで担っていると求人で拝見し、自動化や AI の推進にも力を入れたい自分の方向と合うと感じています」。