叡智の三猿

〜森羅万象を「情報セキュリティ」で捉える

当サイトは、アフィリエイト広告を使用しています。

パッと利用できること

AIを使ったクラウドサービスを開発し、顧客に提供する会社にSESエンジニアとして仕事をしてました。

わたしの役割は、顧客からのオーダー受付と出荷、サポート周りを改善することです。オーダーシステムやサポートシステムのカスタマイズがメインでしたので、AIに直接的な関わりはありません。

ただ、職場には多数のAIエンジニアやデータサイエンティストがいたので、彼らと話す機会も多くありました。

彼らの多くは自分の仕事にプライドを持っています。先端的な技術を活かすエンジニアの範疇に関心は留まってません。自分たちが開発したプロダクトによって、顧客の潜在的な需要を発掘することにも意欲を持ってました。

マーケティング部門もエンジニアの欲求をくみ取ってます。ウェビナーを通じて、直接、顧客にプロダクトへの想いを伝える場を提供してました。

わたしも、クラウドサービスを利用する顧客から、たびたび、情報セキュリティ対策に関わる要望を受け、持っている好奇心を刺激させてくれました。

風通しのいい職場でした。

長年にわたり、数多くのプロジェクトを経験してますが、そのなかでも、ここは印象に残る職場のひとつです。

一方で、クラウドサービスを利用する顧客からは、プロダクトに関するクレームを聞くことがたびたびありました。

端的には「使い勝手が悪い」というものです。

細心のテクノロジーを詰めたサービスでも、そこが顧客ニーズと合致しているとは限りません。

象徴的だったのは「操作が分かりにくい」というクレームです。

操作方法を記載したマニュアルは、製品そのものの仕様を書いた文書です。誰もが見える場所に配置してません。アプリケーションにログインした画面から参照可能です。

いっぽう、利用者がはじめにつまずくのは、ログインそのものです。ログインできなければ、肝心の操作マニュアルを見ることもできません。

提供したクラウドサービスは、高いレベルのセキュリティをアピールしてます。

IDとパスワードで認証する方式ですが、パスワードポリシーは、最低12桁で、「英字大文字、小文字、数字、記号」の4種のうち3種を混合する必要があります。オプションにより、IPアドレスによる接続制限や、二段階認証の設定ができます。

パスワードロックの基準も厳しめです。3回連続して失敗したら、ロックがかかります。最初にロックされるのは1分ですが、さらに間違え続けると時間が長くなる仕組みを採用してます。

定期的なパスワードの変更を促す仕組みは、あえて提供してません(注)が、パスワードの変更については、過去に使用したパスワードの再利用は出来ない仕様です。

  • (注)2017年に、米国国立標準技術研究所(NIST)からガイドラインとして、サービスを提供する側がパスワードの定期的な変更を要求すべきではない旨が示されました。

セキュリティの基準を高く設定することは、安全性からみて、良いことです。

しかし、利用者はより手軽にパッと使えるイメージを期待してます。複雑なパスワードや長いロック時間は、そもそも利用者のアタマのなかにはニーズとして存在しません。情報セキュリティの重要性については、プロダクトを契約する過程で、サービス仕様を提示することで、顧客の理解を得ることが重要です。

クラウドサービスのなかでも特にSaaS型のプロダクトは、利用者側でコントロールが出来るセキュリティ対策が殆どありません。その分、説明はなおさら必要だと思います。

クラウドサービスの分類とセキュリティコントロール

アプリケーションのログイン画面には、認証の失敗についてのサポートがあまり明記されてなく、クレームの要因になりました。

もちろん、利用者からの指摘を受けて、継続的な改善はしていきます。しかし、そもそも顧客ニーズをはじめから、イメージして、それを汲み取ったアプリケーションの作り方をしていないことに不満を持つ利用者の声があがりました。

ある顧客は、マーケティング担当者から提供するクラウドサービスの設計思想を聞いたあとーー

それはプロダクトアウトの思想だよね。

と、言いました。

これは、ネガティブな意味を込めてます。プロダクトアウトは、マーケットインと対をなす、商品開発の考え方です。一般的には以下の意味で使います。

  • マーケットイン:顧客ニーズを把握し、それを満たす製品やサービスを提供する考え方。顧客の満足度を重視し、顧客の要望や困りごとを解決する製品を市場に投入する。
  • プロダクトアウト:企業側が良いと判断した製品を市場に投入する考え方。開発者の技術やノウハウなどのシーズを起点としており、独自の技術を商品に反映しやすいという特徴がある。

プロダクトアウトという言葉は、バブル崩壊後、モノが売れなくなり、当時はマーケットインを導入する際に使われました。いわば、古い商品提供の考え方で、ネガティブに使われることが多いのです。

商品を市場に投入するには、本来はニーズとシーズのバランスが重要です。

顧客は、シーズに重きを置き過ぎていて、ニーズを軽く見ていることを皮肉ったのです。