「それ、今やる必要ある？」と言われたときの、セキュリティ施策の通し方

梅を必ず入れるのがコツです。「予算ゼロでもここまでは下げられる」を示すと、議論が「やるか/やらないか」から「どこまでやるか」に変わります。この時点で提案は半分通っています。 4.「導入費用」→「運用コストと人の時間も出す」 導入費用だけ書いた提案は、通ったあとで揉めます。「入れたのに運用されていない」の原因はここです。 年間のライセンス・保守費 運用にかかる工数（月◯時間、誰が） 教育・周知にかかる時間 正直に出したほうが通ります。 隠して通した施策は、運用が回らず、次の提案の信用を削ります。 5.「セキュリティ部門の要望」→「事業部門と一緒に出す」 同じ提案でも、誰が出すかで通り方が変わります。 事業側にも困りごとがあるはずです。「アクセス権の申請に時間がかかる」「退職者の処理が属人化している」。そこに乗せて共同提案にすると、「守りのコスト」ではなく「業務改善」として扱われます。 これは

[y_as]

“「提案した」「通らなかった」「その結果、このリスクが残っている」を記録に残す。” 「通さないことに決めたのは誰か」も残した方がいいと思う。

[hecaton55]

記録を残しておくのは重要。何かをやるときだけではなく「やらないとき」のその決断に至った背景を記載しておくのを忘れずにやっていきたい

[TriQ]

なるほどなーすごく勉強になる

[HDPE]

災害対策と同じだな。記録を残しておけば天災は人災になる

[mak_in]

セキュリティに限らず、よくやる視点

[Goldenduck]

別に会社を守り抜く責務があるわけではないので意思決定に必要な情報と推奨選択肢提示して蹴られたらそれでおしまい。起きたとき生贄に捧げられないように記録は必要

[fluoride]

サラリーマンとしては提案した記録さえ残せば責任果たしてるるわけで通る通らないは別によくない？

[mmaka2787]

梅プランてルールは作ったが実行されないの典型になるか真面目に運用されて現場に不満が溜まるか下手したらそこがセキュリティホールになりかねないやばいやつだったりしないか。

[paradisemaker]

俺はこれにセキュリティインシデントのニュース持ってきて、「これと同じことが起きるとどうなるか」の説明を加えるね

[gegegepo]

最後は「いつやるの？今でしょ！」でキメろ

[tambo]

これ全部やってもお金出してくれないのが中小企業の経営者

[m4fg]

リスクとして、起きる可能性を話すんじゃなくて起きた時のヤバさを話すのはよく効くね

[nguyen-oi]

梅プランでゼロ円案を混ぜて議論を「やるか」から「どこまでやるか」に誘導するテクニック、社内政治の基本だけど刺さるな