「セキュリティが好きかと聞かれると、イエスともノーとも言えません。ただ、昔からルールを守るのが好きだったんです」——。システムにまったく興味がなかったという人物が、いかにしてJTBのセキュリティリーダーになったのか。社会人大学院で徹底的に鍛えられた「わかりやすく伝える技術」を武器に、自らを日本料理の「出汁（だし）」に例えるJTBの異才・指南氏。彼が目指す「デジタル番頭」という将来像と、リーダーとしての実践のリアルに迫った。
指南 公平（SHIINO Kohei）——株式会社JTB ITセキュリティ・インフラサポートチームマネージャー。1999年、JTBグループのシステム子会社（現・I&Jデジタルイノベーション）に入社。システム開発、事業会社のIT部門、ネットワーク・端末運用などを歴任し、2017年よりグループ全社のITセキュリティ対策を主導。2022年1月より現職。2021年3月に東京理科大学大学院 経営科学研究科 技術経営専攻（MOT）を修了。2024年よりIPA「情報セキュリティ10大脅威」選考会メンバー。
「システムに興味はなかった」——原点はインド旅行での人とのつながり
——大学卒業後、JTBグループに入社してシステム部門に配属されたとのことですが、もともとITに興味があったのでしょうか。
指南氏：いえ、実はまったく興味がありませんでした。私は文系の経営学部出身で、いわゆる普通の大学生でした。
——転機になったのはいつですか。
指南氏：転機になったのは大学3年のときです。初めての海外旅行で、ひょんなことで友人の友人と一緒にインドへ個人旅行に行きました。現地に行ってみると、バラナシの河岸で声をかけた相手が実は同じサークルの友人の先輩で帰国後に再会をしたり、人と人とのつながりを感じる場面がありました。それがとにかく楽しくて、「こういうつながりの機会つくる仕事ができたらいいな」と思って帰国しました。
——それでJTBグループへ。
指南氏：はい。就職活動期間でJTB本体の募集はすでに締め切られていましたが、たまたま応募していたリクルートのはがきにJTBグループの募集があったんです。
——入社したのはJTB情報システムという子会社（現・I&Jデジタルイノベーション）ですね。最初はどんな仕事から始めたのですか。
指南氏：最初はグループ各社にPCやアンチウイルスソフト、サーバを導入するグループ内営業のような仕事から始まりました。その後、スクラッチでのシステム開発で苦労を経験したり（苦笑）、飲食店の店舗を運営する事業会社に出向したりしながら、インフラ周りのキャリアを補ってきました。
システムの仕事をしていて、やりがいを感じたのはどんな瞬間ですか
指南氏：事業会社に出向していたとき、あるモールへの新店舗オープンにシステム担当として携わりました。オープンの日は、システムの人間でありながら大声を張り上げてティッシュやパンフレットを配り、隣の階から「検査ができない」とクレームが来たほどでした。そのとき、上司が「モール全体のにぎやかしなんだから」とかばってくれて、むしろお店に貢献できているのを認めてくれたことが素直にうれしかったですね。
また、自分が手配したシステムを使って、お客さまが旅行に行けることを実感したときも感動しました。店頭の営業社員は優秀で、1対1の素晴らしい接客をします。一方で私たちが作ったシステムは、寝ているあいだも動き続け、日本中・世界中の人に同時に感動を届けられる。この同時多発的な喜びに貢献できている実感は、今のモチベーションにもつながっています。
CSIRTを自ら立挙。ルールを守る気質がセキュリティと合致
——インフラやネットワークの運用から、どのようにしてセキュリティの道へ進んだのですか。
指南氏：2015年ごろ、所属していた子会社の中長期経営計画を描くプロジェクトに参加した際、「これからはセキュリティが重要になる。CSIRTを作りたい」と自ら手を挙げたんです。当時は他社のCSIRTの方に話を聞きに行ったりもしました。まず子会社のなかで組織化され、重要性が高まるにつれて、そのメンバーが母体となってJTB本体にセキュリティ専門部門ができました。私がこのチームに加わったのが、2017年です。さらに、子会社がIBMグループとの合弁会社になった後に、JTB本体へ籍を移しました。
——JTB本体へ転籍された理由はなんだったのでしょうか。
指南氏：どちらの立場にいた方が両社の会社のためにあるかを考えた結果です。もうひとつ、情報システム部門の社内におけるプレゼンスや認知を向上させたいという思いもありました。かつては「情報システム＝コストセンター」という見方が強く、華ぐ部門ではないと思われがちでした。私は人と話すのが好きな方なので、JTB側に立って全体のプレゼンスを上げつつ、開発を担う仲間たちの気持ちを理解しながら事業側との架け橋をしたいと考えたんです。
非常にエネルギッシュですが、率直に言って、セキュリティの仕事はお好きですか
指南氏：それが、イエスともノーとも言えないんです（笑）。ただ、昔からルールを守るのは大好きでした。子どもの頃、宿題を出し忘れた記憶がありません。
子どもには「約束は手を挙げて伝える。点数し始めたら半分まで行っていなかったら戻るんだよ」と教えています。大人になると流れで伝ってしまうこともありますが、逆に子どもから「パパ、そう言ってたよ」と指摘される。知らず知らずのうちに、私が教えたルールを子どもがしっかりと守っていることに気かされます。
セキュリティそのものが好きというより、ルールを定め、守ってもらうための啓発活動をし、風土を作っていくことが、自分の強みであり、性に合っているのだと思います。昔はルールを守らない人にイライラすることもありましたが、長くやっているうちに「自分の伝え方が悪いのかな」と思うようになり、今は一言でわかりやすく伝えることを強く意識しています。
「脆弱性診断は車検と同じ」——MOTで徹底的に鍛えられた、一言で伝える技術
——伝え方を磨くうえで、2019年から通われた社会人大学院でのMOT（技術経営）の学びが大きかったとお聞きしました。
指南氏：はい。「システムの人間は事業が分かっていない」という先入観を打破したくて、社内の大学院派遣制度に応募したんです。ところがあえなく落選。それでも学びたい気持ちが消えず、最終的に自費で東京理科大学大学院のMOT（技術経営修士：Master of Management of Technology）専攻に入り、昼は仕事、夜は勉強という生活を始めました。
そこには製薬、製造業、エネルギー関連など、IT以外の技術を持つ40代を中心とした同期たちが集まっていました。授業でレポートを書くと、先生から徹底的に指導されるんです。「ITの用語を使っても、それはあなたの業界の言葉で、経営者には伝わらない。例えば言うと何なのか」と。同期同士でも「今の話、通じた？」「全然分からない」と確認し合う。それを2年間ずっと繰り返しました。
経営者にも、専門外の同期にも伝わる言葉に磨き上げる。あの訓練が、わかりやすく一言で伝える技術に実に生きています。
経営層へのセキュリティ投資の説明では、具体的にどう生かしていますか
指南氏：年1回の脆弱性診断は「自動車の車検」に例えます。「システムという自動車を運転しているのに、車検を通さなくていいんですか？ ときには車検証がなくて誰のシステムか分からないものも存在しますよ」と。IT資産管理は「パソコンの健康診断」、SIEM（セキュリティ情報イベント管理）の導入は「オフィスで警備サービスを導入するようなものです」と伝えます。
リスクそのものの理解については、外部の力を借ります。実際にランサムウェアの被害に遭った業界の経営者に来ていただいたり、デジタル庁のCISOに動向を解説していただいたり。社長の「マーケットが大事だ」になぞらえて言えば、セキュリティも市場＝外部の物差しで評価してもらうのが一番効くと考えています。
セキュリティは日本料理の「出汁」——事業に浸透し、味を積む。そんな指南氏の哲学が、JTBのデジタル変革を支えている。
