【組織の闇】GitHubのセキュリティチームは「何もしてない」？「無事故の時はコストカット」「事故時は全責任」「安全に爆速で走るブレーキ」
投稿日時: 2026/07/27 04:51
■ 概要・編集部サマリー
1. 【背景・組織手記】元GitHubセキュリティエンジニアの告発ブログより、企業内のインハウスセキュリティチームが抱える構造的ジレンマ（無事故時は「タダ飯喰い」と予算カット、事故発生時は「何やってた」と糾弾）が話題沸騰となっています。 2. 【焦点・社内摩擦】プロダクト開発チームの「新機能リリース速度」とセキュリティ監査の「リスク遮断」が衝突し、社内で「開発の足を引っ張る嫌われ者」扱いされる力学の実態となっています。 3. 【評価・CISO評価論】セキュリティを単なる「コストセンター」ではなく、F1カーの高性能ブレーキと同様「安全に限界速度で攻めるための投資」として評価する組織文化の重要性が議論にとなっています。
■ 「無事故」が成果である職種の構造的パラドックスとコストセンター評価
企業のインハウスセキュリティチームが直面する最大のジレンマ。サイバー攻撃やデータ流出を未然に防ぎ「何も起きない平和な状態」を維持しても、財務・経営陣からは「売上を出さないコスト部門」と誤解され、無事故の時期ほど予算や人員がカットされやすい不合理な評価サイクルが生じています。
セキュリティへの投資成果が「事故の非発生」というネガティブな数値でしか測定できないことが、本質的な価値の視認性を下げています。
■ プロダクト開発（Velocity）とセキュリティ監査（Risk）の組織的摩擦
新機能のリリーススピードを最優先するプロダクト開発チームと、脆弱性排除やコンプライアンスを最優先するセキュリティチームとの日常的な政治的衝突となっています。
開発プロセスの最終段階でセキュリティ修正が要求されることで「開発スピードを遅らせる警察組織」とみなされ、セキュリティ担当者が社内で孤立しバーンアウト（燃え尽き症候群）や離職に追い込まれる悪循環が告発されています。
■ 「安全に爆速で走るブレーキ」としてのセキュリティ文化（Security Culture）設計
セキュリティを抑圧的な取り締まり組織ではなく、F1マシンの高性能ブレーキのように「限界速度で安全にコーナーを攻めるための必須装備」として再定義する経営・組織デザインが必要です。
自動脆弱性スキャン（CodeQL, Dependabot等）の導入による手作業監査の削減と、開発初期段階から並走する協調的セキュリティ文化の構築が今後のエンジニアリング組織の鍵となります。
海外掲示板の反応・まとめ
■ 元GitHubセキュリティ社員の手記。無事故の時に評価されずコストカットされるセキュリティ組織の構造的パラドックスと開発チームとの摩擦が議論されています。
『何事も起きない平和な時は「何もしてないのに高給貰って無駄」と言われ、障害や漏洩が起きたら「何やってたんだ無能」と怒られる』…全社内セキュリティエンジニアが涙したわw
>>2 正直、開発側からすると『これ使っちゃダメ、あのライブラリは承認が必要』ってリリーススピード落としてくる嫌な警察に見えちゃうんよな。
>>3 だから経営陣が『セキュリティは開発を止める警察じゃなくて、F1マシンが時速300kmでコーナーを攻めるための高性能ブレーキだ』って伝えないとチームが機能不全に陥るんだよ。
GitHubレベルの大手テック企業ですら、セキュリティ部門が『コストセンター』扱いされて人員カットや予算削減の対象になるの世塩すぎるわw
>>5 無事故っていう一番難しくて最高の成果を出してる時ほど『セキュリティに金かけすぎじゃね？』ってコストカットされる悪循環な。
で、予算削ってセキュリティ担当者が嫌気さして辞めた半年後に、サプライチェーン攻撃やトークン漏洩が起きて会社壊滅するまでがテンプレw
DevSecOps（開発・セキュリティ・運用の融合）が叫ばれて久しいけど、結局チーム間の政治闘争と評価制度が追いついてないのが現実だな。
>>8 形だけのKPI（脆弱性スキャン回数とかチケット消化数）で評価しようとするから、誰も本当のリスク対策をしなくなるんだよ。
Hacker Newsでも『うちの会社でも全く同じ状況だ』って世界中のセキュリティエンジニアの悲鳴と共感のコメントが溢れかえってるわ。
>>10 開発チーム側も、セキュリティチェックを後から突きつけられるんじゃなくて、最初の設計段階（Shift Left）から一緒に並走してくれるなら大歓迎なんだけどな。
シフト左（Shift Left Security）を成功させるには、セキュリティ担当者を開発チームの心理的味方にする組織デザインが必須だわ。
>>12 自動化ツール（DependabotやCodeQL）を導入して手作業の監査負担を減らし、文化として根付かせるのがGitHub自身の元々の理想だったはず。
成果が見えにくい職種ほど、その職種が消えた時に初めて有難みが分かるっていう皮肉な教訓だな。
セキュリティはコストではなく企業の信頼を守る投資。開発とセキュリティがリスペクトし合える文化を創りたいな。