STEP4のゴールは、サーバーを構築したり、ハッカーと戦ったりすることではありません。
「この施策、進めていいか／止めるべきか」を“理由つきで判断できるようになること”です。
STEP3で自動化を始めると、仕事は確実にラクになります。
ただ同時に、こんな場面が急に増えます。
- 「この顧客データ、Googleドライブに置いていいんだっけ？」
- 「便利なツールを見つけたけど、勝手に使って問題ない？」
- 「情シスに申請したら『セキュリティ要件は？』と聞かれて詰んだ」
ここで多くの人は、どちらかに寄ってしまいます。
- 分からないから止める（改善がストップする）
- 分からないまま進める（＝シャドーITという地雷を踏む）
STEP4は、そのどちらでもない**「安全に前へ進むための知識」です。 いわば、STEP3で手に入れた「自動化という車」を、事故らずに運転するための交通ルールと地図**を手に入れる工程です
なぜ「クラウド・セキュリティの裏側」を知ると、仕事の判断力が上がるのか？
正直、自動化までは楽しかったんですけど、セキュリティとかネットワークって聞くと一気に難しそうで…
それ、すごく自然です。クラウドやセキュリティの“裏側”は、普段は見えないように設計されていますから。
じゃあ正直、触らない限りは知らなくてもいいんじゃないですか？」「正直、自動化までは楽しかったんですけど、セキュリティとかネットワークって聞くと一気に難しそうで…
“使うだけ”なら問題は起きにくいです。でも、仕組みを作る側（STEP3）に回った瞬間、知らないと危険になります。
例えば、『誰でも入れる部屋に、重要書類を置いている』。
それに違和感を覚えられるかどうか。 それが“仕事の解像度＝判断力が上がる”ということです。
STEP4は、新しい技術を増やす場所ではありません。今まで見えていなかった“構造”と“リスク”が見えるようになるためのSTEPです。
【ミニコラム】STEP4を飛ばすとどうなる？悪気はなかった「シャドーIT」の罠
事故って言われても、私はハッカーじゃないですし。 変なウイルスソフトとか踏まなければ大丈夫ですよね？
実は、会社の情報漏洩の多くは、ハッカーではなく『社員のうっかり』で起きているんです。
うっかり？
『便利だからスマホに送っちゃえ』『面倒だから全員に見せちゃえ』。 この『ちょっとした便利』が、会社の信用を吹き飛ばす地雷になります。
STEP3で自動化の便利さを知ると、仕事は一気にラクになります。
しかし、STEP4（クラウド・セキュリティのルール）を知らないまま進むと、「シャドーIT（会社の管理外で勝手に動くIT）」という見えない地雷を踏むことがあります。
ここで紹介するのは、すべて実際によくある・悪気のない失敗です。
※どれも本人は「便利にしよう」と思ってやったことばかりです。
ケース1：「リンクを知っている全員」の悲劇（鍵をかけ忘れた部屋）
- やったこと： 「毎回権限申請が来るのが面倒だから」と、共有設定を 『リンクを知っている全員が閲覧可』 に変更。
- 起きたこと： URL付きメールが誤送信され、社外の人が顧客名簿を閲覧。結果、情報漏洩事故としてプロジェクト停止。
- 👉 何が問題だった？： 「誰が見られるか」を把握していなかった（＝鍵をかけずに玄関を開けっ放しにしていた状態）
ケース2：「個人のGmail」の悲劇（会社の金庫を自分のバッグに入れた）
- やったこと： 「会社スマホは制限が多いから」と、業務データを個人のGmailに転送して外で作業。
- 起きたこと： フリーWi-Fi経由でウイルス感染。個人スマホが踏み台になり、会社データが流出。
- 👉 何が問題だった？： データの“住処（置き場所）”を勝手に変えた（＝会社の重要書類を私物で持ち歩いたのと同じ）
ケース3：「退職者の亡霊」の悲劇（使われていない鍵で動くシステム）
- やったこと： 退職者Aさんのアカウントで動いていた自動化を、「今は動いているから」と放置。
- 起きたこと： Aさんのアカウント削除と同時に自動化が停止。部署全体の業務が3日間ストップ。
- 👉 何が問題だった？： 「誰の鍵で動いているか」を意識していなかった（＝退去後の鍵を交換していなかった状態）
結論：事故の原因は「知識不足」ではなく「構造の見落とし」
これらの失敗に共通するのは、スキル不足でも注意不足でもありません。
「データはどこにあり、誰が鍵を持っているか」——この2点を考えていなかっただけです。
そして重要なのは、どれも STEP4の知識があれば“事前に気づけた事故” だということ。
- STEP4はあなたを縛るルールではなく、便利さを安心して使い続けるための保険です。
- なお、シャドーITや情報漏洩は特別な話ではなく、IPA（情報処理推進機構）が毎年発表している「情報セキュリティ10大脅威」でも、常に上位に挙げられています。
クラウドの正体とは？データの「住処（不動産）」で理解する
クラウドって言葉、毎日聞きますけど…。 結局、雲（クラウド）の上にデータが浮いてるわけじゃないですよね？
浮いてません（笑）。 クラウドは、世界のどこかにある『巨大な賃貸マンション』だと思ってください。
マンション？
はい。AmazonやGoogleという大家さんが持っている、セキュリティ万全のマンションの一室を借りているイメージです。 こう考えると、『持ち家（オンプレミス）』との違いが一発で分かりますよ。
では、こうした事故を防ぐにはどう考えればいいのでしょうか。答えはシンプルです。ITを不動産（データの住処）として捉えます。
① オンプレミス（持ち家）
- 仕組み： 自社の中にサーバー（箱）を買って置く
- 特徴： 自分の敷地・自分の建物
- 注意点： 鍵・防犯・修理はすべて自己責任（自由だが管理コストが重い）
② クラウド（賃貸マンション／ホテル）
- 仕組み： AWSやGoogleなどの巨大なサーバーの一部を借りる
- 特徴： 建物（インフラ）は大家が管理。防災・警備も最初から整っている
- 注意点： 入居者はルールを守る必要がある（鍵の管理は入居者責任）
👉 重要な視点
「クラウドは危ない」は誤解です。むしろ大家（AWS/Google等）が強固に守っています。
危ないのはクラウドそのものではなく、“鍵の閉め忘れ”や“住処の混同”です。
SaaS / PaaS / IaaS を「生活」に翻訳する
クラウドは3つに分かれます。難しく見えますが、生活に置き換えると一発です。
- SaaS：完成品を借りる
- 例：Gmail / Zoom / freee
- → 使うだけ。インフラは気にしなくていい
- PaaS：キッチン付き物件
- 例：Power Automate / GAS / kintone
- → 料理（仕組み作り）は自分。場所（基盤）は借り物
- ※STEP3で触ったのは主にここ
- IaaS：土地だけ貸す
- 例：AWS EC2 など
- → 自由度は高いが、家づくりを自分でやる領域
あなたがSTEP3で使ったのは「完成品」か「キッチン付き物件」です。建物の心配は不要。でも、「何を置くか」「誰に鍵を渡すか」は利用者の責任です。
事故の9割は「データの現在地」を意識していない
データの置き場所なんて、考えたことなかったです。 画面に映っていれば、全部同じじゃないんですか？
それが一番危ない思考です！ データは生き物のように旅をします。『自分のPCにいるのか』『ネットの向こうにいるのか』で、守り方は全然違うんですよ。
セキュリティ事故の多くは、ハッカーのような“悪意”ではなく、無自覚から起きます。データは常に移動します。「今どこにいるか」を言語化できないデータは危険です。
データは「旅」をしている
- 入力（スマホ・PC）
- 通信（インターネット・Wi-Fi）
- 保存（クラウド・社内サーバー）
- 表示（ブラウザ・アプリ）
危ないのは「ローカル」と「野良クラウド」
- ローカル（自分のPC）： 故障・紛失・USBで即アウト
- 野良クラウド（個人アカウント）： 会社の警備が効かない無法地帯
正しい住処は「会社が契約しているクラウド（指定のフォルダ）」一択です。 そこに置けば、大家（クラウド事業者）と警備員（情報システム部（または課・担当））が24時間体制で守ってくれます。
逆に、ローカルや個人クラウドに置くということは、 「自分一人で、プロの泥棒（ハッカー）や災害からデータを守る」と言っているのと同じです。 「仕事のデータは、会社の金庫（クラウド）へ」。これだけで、あなたが背負うリスクは激減します。
セキュリティの本質｜非エンジニアが守るべき「権限（鍵）の3原則」
セキュリティ対策＝パスワードを難しくすること、ですよね？ 記号とか数字とか混ぜて、毎回覚えるのが大変で…。
パスワードも大事ですが、もっと大事なのは『鍵（権限）を誰に渡すか』です。
鍵？
はい。いくら頑丈な金庫でも、鍵を配りまくったら意味がないですよね。 ITも同じで、『必要な人以外には鍵を渡さない』。これが最強の防御です。
セキュリティとは、難解な暗号を解くことではありません。「適切な人に、適切な鍵（権限）を渡すこと」に尽きます。
そして本質はこうです。セキュリティは「信頼できる人を選ぶ」話ではなく、「誰でもミスする前提で設計する」話です。
① 認証（Authentication）＝「あなたは誰？」
- IDとパスワード、多要素認証（スマホ通知など）
- 鉄則： パスワード使い回しは「合鍵を玄関マットの下」級の危険
② 認可（Authorization）＝「何をしていい？」
- 閲覧／編集／削除
- 鉄則： 全員に編集権限を渡さない（事故が起きる確率が上がるだけ）
③ 最小権限の原則（最重要）
- 作業に必要な最低限だけ持つ
- 「見られなくて困る」より、「見えちゃって大事故」を防ぐ発想
権限を制限することを「水臭い」「信頼していない」と感じる必要はありません。
むしろ逆です。
不要な鍵を渡さないことは、「万が一の事故の時に、その同僚を“犯人”にしないための優しさ」です。
「使う人だけが、使う時だけ持つ」。これが大人のITマナーです。
情報システム部（または課・担当）に信頼される人の共通点
うちの情シス（情報システム部）、頭が固くて…。 新しいツールを使いたいって言うと、すぐに『ダメ』って言うんです。
それは意地悪じゃなくて、『安全かどうかわからないから怖い』だけなんです。
えっ、怖がってるんですか？
はい。だから、相談するときに『ここは安全ですよ』と証明できれば、彼らの態度はガラッと変わります。
STEP4を学ぶと、情報システム部（または課・担当）やエンジニアへの相談が通りやすくなります。なぜなら、情報システム部（または課・担当）が見ているのはツールではなく “考え方” だからです。
- ❌Before（止められやすい相談）
-
「このツール便利そうなんで、使っていいですか？」
（情シス心の声：データは？保存先は？権限は？…分からないから止めよう）
- ⭕ After（通りやすい相談）
-
「業務効率化のためにツールAを使いたいです。
扱うデータは社内用のみで、個人情報は含みません。
権限はチームの3名のみ、外部公開はオフにします。問題ないでしょうか？」
- 「どんなデータか」「どこに置くか」「誰が触るか」の3点セット。
- これを言語化できる人は、単に“ITが分かる人”ではなく、任せられる人になります。
まとめ｜STEP4は「自動化を止めずに進めるため」のクラウド・セキュリティ基礎
STEP4は守りの知識ではありません。
STEP3で手に入れたスピードを、安心して出し切るための土台です。
- STEP1：全体像（地図）
- STEP2：数字（武器）
- STEP3：自動化（分身）
- STEP4：安全設計（判断力）
ここまで揃って、初めてあなたは「ITに強い社会人」から「ITで仕事を設計できる社会人」になります。
「知らない」はリスクですが、「分かる」は最強の武器です。
これで、あなたのIT学び直しの“基礎”は完成です。
今日やること（1つだけ）
👉 共有フォルダか自動化ツールを1つ選び、「データの住処」と「鍵を持っている人」を言葉にしてみる
（「このデータ、ここにあって大丈夫？」「関係ない人まで見えてない？」と気づけたら、STEP4は合格です）
次に読む記事
コメント