問題 No.4368
ある企業では、複数のシステム開発プロジェクトを並行して進めており、プロジェクト管理の標準化と品質向上のためにPMO（Project Management Office）を設置している。情報セキュリティマネジメントの観点も含め、PMOが組織内の複数プロジェクトに対して実施する支援活動として、適切なものはどれか。
【正解の解説】
個別のプロジェクトにおける情報セキュリティリスクの洗い出しや対策状況を横断的に把握し、組織のセキュリティポリシーに準拠しているかを支援・監視する。
学校の部活動全体をサポートする「マネージャーやコーチの統括本部」のような存在です。個別の試合（プロジェクト）ごとにルールがバラバラだと困るので、学校全体の決まり（セキュリティポリシー）がしっかり守られているかを横断的にチェックし、安全に勝てるようにサポートするのがPMOの役割です。
スポンサーリンク
【その他の選択肢の解説】
個別のプロジェクトにおけるプログラミング作業を直接代行し、脆弱性を含まないセキュアなソースコードを開発チームの代わりに作成する。
PMOはあくまでプロジェクト全体の「管理や支援、交通整理」を行う司令塔であり、自ら手を動かしてコードを書くような実務の代行部隊ではありません。監督やコーチが選手に代わって試合でシュートを打たないのと同じで、役割の混同に注意が必要です。
個別のプロジェクトで発生した重大なセキュリティインシデントについて、経営陣に代わって対外的な記者会見や謝罪対応を実施する。
PMOはプロジェクトの進捗や品質、セキュリティの管理を支援する組織であり、会社の命運を分けるような対外的な謝罪会見の矢面に立つ組織ではありません。トラブル時の広報対応や法的な責任追及は、経営陣や専門の危機管理チームの仕事となります。
個別のプロジェクトにおける予算配分や人事評価を独自に決定し、情報セキュリティ対策の遅れに対して直接的な懲戒処分を行う。
PMOはプロジェクトをスムーズに進めるための「お助けマン」であり、独自の予算権や人事権を行使してメンバーを罰するような権限はありません。警察官や裁判官のように罰する組織ではなく、ルールを守るための道案内をするナビゲーターのような存在です。