皆さんは、チーフ・トラスト・オフィサー（Chief Trust Officer、以下CTO）という言葉を耳にしたことがあるだろうか。セールスフォース・ドットコムが設置した役職で、クラウドサービスのセキュリティやデータ保護に責任を持つ。毎年、続々と新サービスを投入する裏側で、顧客の信頼を獲得するために地道な取り組みを続けるパトリック・ヘイム氏に話を聞いた。
－チーフ・トラスト・オフィサー（Chief Trust Officer）とは初めて耳にする役職だ。具体的にはどのような役割を担っているのか？
セールスフォースと、セールスフォースが提供するサービスが、顧客企業からの“信頼（Trust）”を獲得できるようにすることが私の使命だ。信頼は、クラウドプラットフォームを提供する上で最も重要なもの。顧客企業のアプリケーションやデータ、ひいては業務が私たちのシステムに依存するからだ。
不具合や障害によって信頼を失えば、顧客はクラウドの利用を止めてしまうだろう。クラウドのビジネスを成功させるためには、まず顧客が成功しなければならない。他のどんなテクノロジー企業より、クラウド事業者には信頼が求められる。セールスフォースはCEO以下、信頼を最上の価値として共有している。
CIOは、信頼を獲得し、向上させるのが役目。そのために強力な権限を与えられている。例えば、物理/情報セキュリティやプライバシー、事業継続、リスク管理など複数の専門チームを統括。開発や運用の担当部門から報告も受ける。
さらに、CEOや取締役にも直接アクセスしたり、セキュリティ委員会を開いたりする権限も持つ。場合によっては、サービスの仕様を変更するよう指示することもある。買収した会社や子会社に信頼を浸透させるのも私の役割だ。
－信頼とは、抽象的な言葉だが、具体的にはどのような指標が考えられるのか？
もちろん、置かれた立場によって、信頼を勝ち得るためにやるべきことは違う。例えば、セキュリティの担当者は、顧客のプライバシーを保護する。データセンターの運用担当者は、顧客が自分のアプリケーションやデータにいつでもアクセスできるようにしておく。製品開発者は、年に3回のリリースで、顧客が望む機能を盛り込み、心地良い利用体験を得られるパフォーマンスを実現する。確かに抽象的な言葉だが、だからこそ共有しやすいとも言える。
－どのようなきっかけでCTOを置くことになったのか？何か事故がおきたのか？
CTOという役職を考案したのはCEOのマーク・ベニオフだ。彼は、クラウドをビジネスとして成功させるために、信頼が非常に大切だという哲学を持っていた。私がセールスフォースに入社する前から、CTOは設置されていた。私自身が、今の立場にあるのは、セキュリティを専門としてきたからだろう。信頼を支える技術の最も重要なものはセキュリティ。セキュリティがなければ、プライバシーも可用性も、パフォーマンスも業務も成り立たない。
－あるクラウド事業者が本当に信頼できるかどうかを見極めることは難しい。事業者側としても差異化を図るのは難しいと思うが、どう考えているか？
難しい問題だ。とても残念なことだが、クラウド事業者によるセキュリティ事故やデータ消失は後を絶たない。そして、そうした事故を起こす事業者と、自分たちが明らかに違うと、理解してもらうのは簡単なことではない。
ただ、私たちは信頼を最優先事項としていることは断言できる。セキュリティは、優先順位の2番目であってはならない。障害も許されない。そのために、私たちは専任のチームを組織し、多くのリソースを費やしている。
例えば、システムを設計する段階からセキュリティ担当者が関与し、必要な機能をアーキテクチャに組み込むようにしている。後付けのセキュリティでは限界があるからだ。また、新しいサービスのアイディアがどれほど素晴らしくても、信頼の観点で不安があれば、仕様を変更するよう指示する。
ISO27002やPCI DSSといった公的な認証も積極的に取得している。取得の要件が非常に厳しい、連邦政府のデータセキュリティモデルにも対応した。日本でも、プライバシーの認定も取得している。もちろん、ハッカーからの攻撃を防止するためには、認証だけでは十分ではない。そこで、私たちは顧客350社以上の協力を得て、年間100回以上のテストを実施している。また、私たちのインフラをひたすら攻撃して、未知の脆弱性を探り出すハッキングチームを抱えている。そうした事実の積み重ねと、企業での採用実績などでアピールしていくことになるだろう。
