ホーム › 記事 › 非エンジニアへの説明の次に戸惑った、2つのこと

非エンジニアへの説明の次に戸惑った、2つのこと

著者：SecBilly　公開 2026-09-20

開発とインフラを11年やってから、社内異動でセキュリティに移りました。

一番大変だったのは非エンジニアへの説明で、それは別の記事に書きました。この記事はその次に来たものの話です。

この記事の要点

次に戸惑ったのは SOX / ISMS の理解と、自分の仕事の効果の測り方
前者は覚えれば済む。後者はまだ答えが出ていない
効いたのは開発手法とインフラ設定の知識
捨てなければいけない習慣は、特になかった
時間の大半はドキュメントと会議。英語は相手と成果物で分かれる

① SOX や ISMS という枠組み

自分には馴染みがありませんでした。

どちらも、仕組みが意図どおり動いていることを第三者に示すための枠組みです。用語も考え方も、開発の側から来ると初めて触れるものでした。

ここは、ひとつずつ覚えていくしかありませんでした。

戸惑ったのは、性質の違う2つでした。

開発では、たいてい前後の数字で比べられます。GRCに移ってから、自分の仕事の測り方が分からなくなりました。

ドキュメントを作った。更新した。会議で説明した。それがどれだけ効いたのかを、どう測ればいいのか分かりません。

まだ答えが出ていません。

エンジニア時代のもので効いたのは、開発手法とインフラ設定の知識です。

統制の対象になるのは、自分が関わった範囲ではたいていシステムでした。何がどう動いているかを知っていると、話が早くなります。

この話は社内で手を挙げて入った記録に書いたので、ここでは繰り返しません。

エンジニア的な習慣で、捨てなければいけなかったものは特にありません。

足りないものを足す必要はありましたが、持っているものを捨てる必要はありませんでした。

いちばん時間を使っているのは、ドキュメントの作成と更新、そして会議です。

手を動かしてものを作る時間は、開発のときより減りました。

決まった周期があるわけではありません。ただ、SOX監査のウォークスルーが始まると、そこから2〜4か月は忙しくなります。

少なくとも自分の1年は、平らではありませんでした。

ただしドキュメントは英語がメインです。会話が日本語で済む場面でも、成果物は英語になります。

一人の、1年分の話です。短いのは、書けることがこれだけだからです。盛らずに置いておきます。