ENEOS株式会社（以下ENEOS）では現在、会員数1500万人以上を数える「ENEOS公式アプリ」をはじめ、さまざまなモバイルアプリを通じて顧客に優れたユーザー体験を届けています。この度ENEOSは、モンスターラボの支援のもと、情報プライバシーやコンプライアンスへの厳格な遵守を目指し、セキュリティリスクやレピュテーションリスクの低減につながる社内ルール整備を実現しました。
この取り組みの背景や経緯、成果などについて、ENEOS IT戦略部 デジタル推進1グループマネージャーの上原昂氏、ルール制定作業を担った椎木崇裕氏、石井幸裕氏、山名淳氏、モンスターラボから顧客担当の若本岳志、セキュリティコンサルタントとしてルール制定作業の支援に当たった岡本奈穂子を加えた6人で語り合ってもらいました。
取材協力：
◾︎ ENEOS
上原 昂 様 / 椎木 崇裕 様 / 石井 幸裕 様 / 山名 淳 様
◾︎ モンスターラボ
若本 岳志 / 岡本 奈穂子
ENEOSのDX戦略において重要な位置を占める「モバイルアプリ」
まず御社の事業概要とDXの取り組みについて簡単に教えてください。
上原：ENEOSグループは、世界中に製造・販売拠点を持つ日本の主要なエネルギー企業です。エネルギー・ 素材分野での事業展開を行っており、上流から下流まで幅広い事業を展開しています。弊社は重要な社会インフラを担う企業として、ITシステムの安定運用を常に心掛けていますが、そのような「守りのIT」だけでなく、DXに代表される「攻めのIT」にも積極的に取り組んでいます。私が担当しているグループでは、社内のコーポレート部門のDX推進や市民開発、RPA等の部門によらないDX推進を担っています。
具体的にはどのようなDX施策を推進しているのでしょうか。
石井：例えばRPAによる業務自動化・省力化の活動を推進したり、業務現場でローコード／ノーコードツールを使って現場担当者が自らアプリケーションを開発する”市民開発”の取り組みをサポートしています。場合によっては、事業部門が実施する内製開発のプロジェクトに直接参画して支援を提供することもあります。さらには、各事業部門が独自に進めているモバイルアプリ開発に必要な、デベロッパーアカウントの管理も私たちIT戦略部が担っています。
ENEOS様のビジネスにおいて、モバイルアプリはどのような位置を占めているのでしょうか。
山名：最もユーザーの多い「ENEOS公式アプリ」は2025年1月末時点で1500万人の会員を獲得しており、今後も会員数のさらなる増加が見込まれています。この他にも「ENEOS Charge Plus」というEV充電のサービスに紐づくアプリや、弊社が提供する各種サービスにそれぞれ対応するアプリがリリースされています。これらのアプリはお客さまに高い利便性と優れたユーザー体験を提供し、ひいては弊社のビジネスを成長させていく上で、今やなくてはならない存在になっています。
Apple／Googleが発行する「デベロッパーアカウント」の管理が課題に
モバイルアプリにおいて、IT戦略部はどのような役目を担っているのでしょうか。
椎木：アプリの企画や開発そのものは、各事業部門がそれぞれ開発ベンダーと共同で行っています。一方、各事業部門がそれぞれで開発を進めてしまうと、全社規模のITガバナンスが効かなくなってしまいます。特にモバイルアプリ開発でやっかいなのが、AppleやGoogleなどのプラットフォーマーから発行される「デベロッパーアカウント」の管理です。弊社のように社内のさまざまな部門でアプリ開発が行われている場合、部門横断でアカウントを一元管理するルールがないとガバナンスやセキュリティ上の問題が生じる恐れがあります。
岡本：モンスターラボはお客さまのモバイルアプリの開発を行うだけでなく、その運用も支援させていただくことが多いのですが、その際によく問題になるのが、アプリの開発担当者に過度なアクセス権限を与えているがために情報漏えいのリスクを抱え込んでいるケースです。また、あるケースでは、1つのアプリがAppleやGoogleの規約に違反してしまったばかりに、同一のアカウントで管理する他のアプリもすべて強制的に停止させられてしまうようなケースも実際に見聞きしています。
上原：もともとは社内で最初にアプリ開発を始めた部門がデベロッパーアカウントを作成、管理していたのですが、他の部門でもアプリ開発を始めることになったため全社的にアカウントを一元管理する必要性が生じました。そこで私たちIT戦略部がその部門からデベロッパーアカウントの管理を引き継ぎ、アプリ開発を行う各部門に適宜権限を付与したり、Apple／Googleの規約に則った提供を行うための社内ルールを制定する役目を担うことになりました。
山名：まずは「登録されているユーザーがどの部門でどのアプリの開発に携わる人で、どのような権限を持つべきなのか」という点を見直して、設定の棚卸しを行うところから始めました。その後、ガバナンス上の問題やセキュリティ上のリスクを回避するために従うべきルールを制定する作業に着手しました。
モンスターラボとともにガバナンス強化のためのルール作りに着手
ルール策定の作業はスムーズに運んだのでしょうか？
椎木：実際にルールは作ってみたものの、私たち自身にはアプリ開発の経験がありませんでしたから、常に「本当にこれでいいのだろうか？」という不安が付いて回りました。そこで実際にアプリ開発を行っていて、デベロッパーアカウント管理や開発規約について豊富な知見を有している外部ベンダーの支援を仰いだ方がいいという結論に至りました。
上原：複数社の選定候補と会話を進めていたのですが、アプリ開発の「生きたノウハウ」を本当に持っているのか疑わしいところもあり、再度選定プロセスをやり直すことにしました。そこでいろいろ調査をする中で、豊富なアプリ開発の実績と、組織としてナレッジを保持する体制をお持ちのモンスターラボさんにお声がけすることにしました。
若本：モンスターラボとしては正直なところ、このような「ルール作り」だけに特化したご支援を提供したことはなかったのですが、アプリ開発の実績については国内屈指だと自負していますし、その過程でプラットフォーマーの規約への対応やアカウント管理に関するノウハウも豊富に蓄積していましたから、お声がけいただいたときには「これは弊社にとっても打ってつけのお話だ」と思いました。
実際に、岡本に加えてアドバイザーとして実際に現場を知るエンジニアをアサインしたり、さらには社内に在籍するアサイン外のエンジニアからヒアリングした観点も加えることで、個人のナレッジに頼らない多角的な観点から平準化したガイドラインの策定を推進することができました。
岡本：プラットフォーマーの規約の内容やツールの仕様などはかなり頻繁に改訂されるので、ルールもそれに合わせて柔軟に更新していく必要があります。その点モンスターラボでは、規約やツール仕様に関する最新情報を社内のイントラネットやチャットツールなどを通じて常に開発者同士で共有していますし、公式の定例ミーティングでも必ず最新の情報を互いにフィードバックするようにしています。私自身はセキュリティコンサルタントなのですが、開発者以外でもこうした機会を通じて常に最新の情報にキャッチアップできるよう心掛けている、というのも弊社の特徴の一つだと思います。
山名：大手企業でもアプリ開発を手掛けているところはありますが、開発や運用を外部のベンダーに委託してしまい、結果として自社内にノウハウが残っていないことがあります。その点モンスターラボさんは、自社で直接アプリ開発を行っているので常に最新の情報に触れていますし、かつ岡本さんのようなルール作りや組織作りにも長けたコンサルタントの方の知見もありますから、弊社のニーズに最も合致していると判断しました。
実務を考慮しながら「共通のゴール」を目指す
実際のルール作りの作業は、どのように進めていったのでしょうか。
椎木：弊社内で検討していたルールのドラフト版が既にあったので、それをモンスターラボさんに見ていただいた上でさまざまな知見やノウハウを盛り込んでいただき、さらにその内容について週次のミーティングでディスカッションを重ねながら内容を徐々にブラッシュアップしていきました。
山名：このようなルールには、「絶対的な正解」というものが存在しません。ルールでがちがちに縛れば確かにセキュアにはなりますが、その一方でルールを運用するために膨大な工数が掛かりますし、開発現場の生産性や開発スピードの足を引っ張ってしまいかねません。「ガバナンス・セキュリティ」と「利便性・スピード」は常にトレードオフの関係にあるという共通認識のもと、弊社の体制やプロセスの実態についてモンスターラボさんに深く知っていただいた上で、現時点で最もバランスがいいであろう着地点を一緒に探っていきました。
上原：私たちからは直接姿が見えない開発ベンダーの方々に対してどのようにガバナンスを効かせるのが最も効率的で、かつ互いの責任分担を明確にできるかという点が、今回のルール策定において最も重要なポイントの1つだったと思います。
若本：もう1つ成功要因を挙げるとすれば、プロジェクトの初期段階のお打ち合わせでスコープを明確に定め、共通のゴールを設定することができた点も大きかったと思います。今回は目に見えるモノを作るわけではなかったので、お互いに最終ゴールを共有しておかないとプロジェクトが進むうちに認識の齟齬が生じて迷走する恐れもあったと思います。
今後も状況の変化に応じてルールを柔軟に改訂していく
今回のプロジェクトを通じて、最も難しいと感じたのはどのような点でしたか？
岡本：先ほど山名様がおっしゃったように、絶対の正解というものが存在しない中、ENEOS様の実務がきちんと回る範囲内で十分にガバナンスを効かせられるラインを見極めるのが、やはり難しかったですね。弊社自身がアプリの開発ベンダーとして、クライアントから過度に厳しいセキュリティ対策を求められて対応に苦慮することもあり、実務でとても回せないような非現実的なルールを定めても意味がないことは重々承知していました。そこでENEOS様の実務についてヒアリングを重ねながら、現実的でバランスのとれたガバナンスを確立できるよう心掛けました。
椎木：この手のルールは、プラットフォーマーのポリシーが変わればそれに対応して変えていかなくてはなりませんし、世の中のトレンドや社内の事情の変化にも柔軟に追随していく必要がありますから、一度作ったら終わりというわけにはいきません。従って今回も初めから100％完璧なものを目指すのではなく、ある程度の柔軟性を持たせた上で、とにかく「現時点で走り出せるもの」を作ることを目指しました。
完成したルールは、現在どのように運用されているのでしょうか。
山名：現在は、正式に全社での運用をスタートさせています。ただしその前からアプリを開発している各部門のキーマンには内容を説明して、現場の要望に応じて柔軟に運用していく旨を伝えてあったので、現場は概ねポジティブに捉えてくれていると思います。
椎木：外部の開発ベンダーに対しても、弊社としてのルールをきちんと提示できるようになったことで、ベンダーの方々にも安心感を提供できるようになったのではないかと思います。
上原：今回、アプリ提供におけるガバナンスを確立できたことで、今後新たなアプリ開発の話が持ち上がっても、ガバナンスやセキュリティをしっかり担保した形でお客さまにお届けできるプロセスと体制を構築できたと思いますし、今後もモバイルを活用した弊社の事業戦略を強力に支援していきたいと考えています。
