ikepyonのだめ人間日記

セキュリティに関することを書いていく予定。

その手順書は本当に今必要ですか?

ISMSなんかを構築すると手順書を作りましょうという話が必ず出るんだけど、今実際に動いてる業務についての手順書ってすぐに作らなきゃならないもの?
何のために手順書を作るか?というのを考えると、抜けがないこと、間違って行わないことを防ぐためというのがあると思う。でもさぁ今現在やっている業務について初めてその業務に従事するならともかく、既にずっとやってきた人にとって手順書をみながらやるというのはほとんどないと思うのですよ。
つまり、手順書というのは初めてやることや、普段はしていないためにやり方を忘れないようにするために必要なんじゃないの?だから、既に業務をやっている人がいる場合、その業務に初めて携わる人が加わったとしても、既にやってきた人から教わればいい。そのとき手順書があったほうが抜けや間違いはなくなるし、説明しやすいだろうけど、必須というわけではないような。
そう考えると、普段あまりやらないことについてのみ手順書を先に作成すればいいのではないかと考える今日この頃。普段あまりやらないことというのは障害対応が多い(それ以外にも月1回の処理だとかね)ので、障害対応の手順書はきちんと前もって準備しておく必要があるかな。というか、障害対応は時間との勝負なので、こういったものこそ手順書が必要だと思うんだけどね。
まあ、どんな障害が起こるかわからないから作れないという話もあるけど、障害が発生したときに「誰」が「何」を「いつ」「どうする」のかという手順さえ最低限決めておけばいいのではないかなぁ。あと、復旧に必要なリストア手順とかね。

(追記)
手順書が新たに必要でない業務というのはその業務を担当している組織(当然複数人で構成されているもの)で、その手順が組織内で共有知識としてあり、その組織の多くが実施しているもの。誰かしか知らないとかあったらその部分は手順書として誰でも出来る形に残しておかないといけないのは当然。

(追記その2)
コメントとか、id:szkszkszkさんの解説でもやもやしてたのがわかった気がする。ありがとうございます。
豚のしょうが焼きをおかずにして夕食作ろうと言う業務を例にすると多分こんな感じ。この手順として以下のようなToDoリストが出来ると思う。

  1. ご飯を炊く
  2. キャベツを千切りにする
  3. 味噌汁を作る
  4. 豚のしょうが焼きを作る

で、これがISMSとかで言ってる手順書。
私が言ってる手順書というのはこんな感じ。

  1. ご飯を炊く
    1. 米びつから、1合分の米をとり、ザルに入れる
    2. 水道から水を出し、米を10回研ぐ
    3. 水を十分に切り、炊飯器に米を入れる
    4. 水を100CCはかり、炊飯器に入れる
    5. 炊飯器にスイッチを入れる
  2. キャベツを千切りにする

:
こういうのは作るの大変だから、わかってるならいらないんじゃない?というのが趣旨だったりする。いや、こういうのが必要な業務もあるというのはわかるけど、多くの業務はそうじゃないんじゃない?
で、障害手順が必要と言うのはこんな感じ。

  1. ご飯を炊く場合に、米びつに米がないとすると
    1. 米を買ってくる
      1. 財布を持つ
      2. 家を出る
      3. 店に向かう
      4. 10kg米を買う
      5. 家に帰る
      6. 米びつに買ってきた米を入れる
    2. パンを準備する

:
こういうのを手順として用意しておきましょうという感じ。障害発生時は、パニックになっていらないことをする可能性が高いから事前に準備するのが必要なのかなぁと。ということで、障害対策手順を重視したいと思うのです。
でも、通常時の手順と言うのも必要なのだけど、組織内で手順が共有化されているのであれば、後からでもいいのでは?と言う感じ。
とはいえ、やっぱり、文書化してないとまずいか。

(追記その3)
えーと、手順書作らなくてもいいやというのはかなりの暴論だし、現場への負担を少なくすることが目的なのでこれをコンサルでやる気はないです。まあ、自分が現場でやることになったらってことで。めんどくさいこと嫌いですからw