Scribble at 2021-03-17 16:41:19 Last modified: 2021-03-18 20:15:26

興味深い話題ではあるけれど、「整理」する状況や対象に偏りがあると思う。そのせいで、僕らのような情報セキュリティの management をしている一方で、社内の情報管理を統制する Chief Privacy Officer として administration を設計している人間からすれば、上記のような工場にしか当てはまらないような議論を眺めていても ISO/IEC との関わりも推測し辛い。敢えて避けたと書かれているのだが、こういう話題は中途半端に既存の学問や知見を遠ざけてみても、別に独創的なアイデアや整理方法が出てくるなんてことはありえないわけで、たいていはデタラメな素人談義に終わってしまうものだ。

management vs. administration という話題は、経営学では古典的な対比である（なお、情報セキュリティでは "controls" も「管理策」と訳したりするのだが、これは "administrative controls" が元々の意味合いなので、僕は不適切な訳語だと思う）。しかし、たいていの誤解はこれらを並列に置くことで生じる。特に日本では双方を「管理」と訳してしまうから、なおさらだ。すると、"administrative management" などという用語に混乱することとなる。しかし、これらが異なる段階のコンセプトだと正確に理解すれば混乱は生じないだろう。

"management" は人員や物品やスケジュールなどの配置とか投入時期とか必要なコストを計算したり整理して、自分たちの業務を含めた事業活動に役立てることを言う。部長が部下のやるべきことを決めたり、問題が生じた際に相談を受けて助言を与えたり、人事考課で評点を付けたりすることだ。物品なら、どこにどういう物があるかを把握して、それをいつどうやって誰が使うかを計画したり、その成果を他の人から聴いたり自ら検証し、買い替えたり廃棄する必要があるかどうかを検討したりする。事業活動そのものについても、自分の部署にいる人員や物品のあいだで互いに仕事をする中でどういうルールが必要かを考えたり、各人に説明したり、逆に実施しているルールについてヒアリングしたりする。こうした「マネジメント」は明文化されているとは限らないし、当人の部署だけで通用するルールかもしれないし、更には当人だけの仕事のやり方という狭い意味にもなりうる。たとえば、僕がその実例だ。僕は「情報システム部」の部長だが、弊部は僕だけが構成員なので、弊部の決まりは要するに僕自身を対象としているだけである。

これに対して、"administration" は会社の組織なり事業の全てに関わるルールを明文化し、そこから導かれた "administrative management" は、全ての部署の全ての管理職が実施することを求められている。よって、プライバシーマークを付与されている弊社の場合は全ての部門長が個人情報の保護について部下に情報の取り扱いを慎重にするよう助言したり忠告する義務があるし、どの部門長であろうと部下の人事考課を正当な事情もなく無視したり拒否することはできない。これに対して、ただの「マネジメント」の範囲であれば、かなり管理職当人の裁量において、やるかどうかを決められる。「契約が取れません、どうしたらいいでしょう？」と部下が泣き言を口にしても、「そんなことは先輩に聞け」と言って取り合わない人がいても "administrative management" を怠ったとは言えないし、逆の事例では、いまでは "administrative management" として考慮するべき（つまり禁止されている）セクハラ発言を臆面もなく口にするものは減りつつあろう。