大手PSPシステム部門業務経験を活かして、PCIDSS審査員にキャリアチェンジ

※このサイトはBSIグループジャパン株式会社をスポンサーとして、Zenken株式会社が運営しています。

大手PSPのシステム部門としての勤務経験を活かし、PCIDSS審査員にキャリアチェンジ。ここでは、BSIジャパンで働く現役の審査員の方に、PCIDSS審査員を目指したきっかけや現在の業務内容、審査員という仕事のやりがいについてお話しをお伺いしました。

―前職はどのようなお仕事に携わっていましたか？

大手PSP（決済代行会社）のシステム部門の責任者です。

―審査員を目指したきっかけは何でしょうか？

自分の経験を活かし、システムに携わる人へ規格を上手に活用してもらいたい

金融システムに関わっていく中で、規格のありがたみを感じており、規格はこれからのシステムにも多く貢献できるものであると思っているからです。規格に従うことで、システムの情報セキュリティを高めることが出来るとともに、他社や他部門へ伝えることが出来ます。

また、若手のエンジニアは規格を学ぶことで、情報セキュリティとシステムを深く効率的に理解することが出来ます。自分の経験を活かし、システムに携わる人へ規格を上手に活用していただく機会を作りたく、情報セキュリティ規格のトップランナーであるBSIを志望し、入社しました。

―入社してから現在までのキャリアについて教えてください

外資系ITベンダー（エンジニア→プロジェクトマネージャー）を経て、大手銀行にて、勘定系担当マネージャーに。その後、 ITベンチャー（システム責任者）、大手決済代行（システム責任者）とキャリアを積んできました。

―現在の業務内容について教えてください

主にPCIDSS（Payment Card Industry Data Security Standard）の審査を担当

審査対象のお客様は皆さまが知る大きな企業がほとんどで、クレジットカード発行会社（イシュア）や大規模加盟店（通信会社や小売店など）、決済サービスを提供するサービスプロバイダー等です。

PCIDSSの審査は2つのフェーズがあり、1つ目は、お客様先へ訪問又はリモート会議によるインタビュー形式の審査です。

2つ目は、インタビューで聞いた内容をもとに、報告書を作成すフェーズがあります。お客様のシステム規模、複雑さにもよりますが、数週間から2か月程度の期間で審査を行います。その後、社内のレビューを経て、お客様へ認証書を発行し、審査が終了となります。 また、規格ごとに繁忙期があり、ISMSなど他の審査を行うこともあります。

―入社1年目の頃、大変だったことはどんなことですか？

審査員の振る舞いを身に着けることです

私はPCIDSS審査の一部を受審した経験はありましたが、他の規格の審査を受信したことは無く、審査のイメージもありませんでした。机上で規格の理解を深めて、審査を学ぶことはもちろんですが、先輩審査員の審査に同行（オブザーブ）や指導（トレーニング）機会をいただくことで、 自分の課題を見つけて改善をひとつずつ行っていきました。お客様にとってより良い審査員になるために、改善を進めていきたいと思っています。

―業務を通して身についたスキルや成長できた点はありますか？

大規模金融システムの仕組みを理解できました

PCIDSSの審査では、大規模金融システムのシステム構成、機能・仕様、運用体制、各種ポリシーなど確認します。これらを確認することで審査を進めるのですが、確認していく中で同時に各システムの強みと弱みをとらえることが出来ます。複数のシステムの仕組みを理解することで、システムのあるべき姿やコストパフォーマンスが自然とわかることが出来るようになりました。

―仕事で大変だった時、そしてその時はどのように乗り越えましたか？

過去に大きな情報セキュリティ事故を起こしたお客様の審査です。その事故からは時間が経過しており、その事故を経験された方々とそれ以降に入社し経験していない方々で、情報セキュリティ意識に大きなGAPがあるお客様の審査がありました。

その審査において、私は事故を経験された方たちの思いを添えて審査するとともに、 経験していない方が不便に感じている業務の内容と理由を明確にすることで、お客様の効率的な改善活動へつなげることができました。

―審査員として活動していく中で、やりがいや嬉しかったことについて教えてください

お客様が前向きに改善を行っていただけること

審査を受けて、認証を取得することだけが目的になっているお客様もいますが、審査を改善活動の好機ととらえて、前向きに受審いただくお客様もいます。私はどちらのお客様でも規格の意図・意味をベースに、改善活動の価値を説明し、納得いただいて行動していただけるような審査を心がけています。

とあるお客様において、気持ちは前向きにもかかわらず、知識不足により規格の理解が出来ていないため、非効率で業務量過多の改善活動を行っていました。そこで、規格の意図に実例を添えて説明することで、理解いただき、効率的な改善活動へと方向転換いただくことがありました。その後の審査において、「規格を理解することでこの規格の価値がわかりました。」と言っていただいたときにはとても嬉しく、やりがいを感じました。

―仕事をする上で、最も大切にしていることは何ですか？

お客様の目線と、規格の要求事項の両面のバランスを意識することです

どちらに偏っても良い審査・結果にならないと思いますし、規格の求めているもの、価値につながらないと考えています。