CISOカンファレンス:アンドレアス・ゲトエ氏 ― 経済学からケルバーAGのCISOへ

ケルバーAGは、世界100カ所の拠点に約13,000人の従業員を抱える、多角的なドイツのテクノロジー・製造企業グループの持株会社です。

「製薬業界を例に挙げましょう」とアンドレアス・ゲトエ氏は語ります。「皆さんがこれまで受けたワクチンのほぼすべてが、当社の機械を通過しているはずです」。ケルバーは消費者に製品を供給する企業にサービスを提供しています。そのため、規模も重要性も大きいにもかかわらず、最終消費者にはほとんど知られておらず、認知もされていません。

ゲトエ氏はケルバーAGのCISOを務めています。

CISOへの道のり

「サイバーセキュリティでキャリアを築こうと計画していたわけではありませんでした」と同氏は振り返ります。「キャリアをスタートした当初は、経済学やビジネス政治学に関心があり、公共サービス関連の仕事に就く可能性が高いと考えていました」。

しかし、人生の現実はしばしば期待を書き換えます。彼は若く、将来の期待よりも今すぐお金が必要でした。時は1990年代半ば、インターネットがエリートの遊び場から、ビジネスや人々にとって不可欠なツールへと移行したばかりの頃です。電子メールが事実上の連絡手段となっていました。

「自分に『よし、コンピュータ関連の仕事を何かやってみよう』と言い聞かせたのです」と同氏は続けます。この参入経路は、幼い頃にPCを与えられ、独学でその使い方やインターネット、無料のオンラインゲーム時間の獲得方法を学んだという、今日の多くの有力なCISOたちとは異なります。しかしゲトエ氏にとって、それはさほど重要ではありませんでした。「私は根っからのビットクローラー(コードに没頭するタイプ)ではありません。それは私の本質ではないのです」と同氏は語ります。

同氏は、当初関心を持っていた経済学とビジネス政治学を情報技術と組み合わせられる職業を探しました。そして、あるコンサルティング会社に入社しました。

しかし2000年代初頭、ITの中でビジネスに本当に注力したいのであれば、一つの業界セクターに絞る必要があると判断します。「当時、ITが本当に重要な役割を果たしていた最良の業界」と同氏は振り返ります。「それが金融業界でした。私は保険会社に入りました」。

同氏は監査担当者としてキャリアをスタートし、ビジネスについて学び、ビジネスとITがどのように連携できるかを見出していきました。当時、サイバーセキュリティは今日ほど大きな職種にはなっていませんでした。「ITセキュリティと監査には自然な親和性がありました。当時のITセキュリティは主にコンプライアンスに関するもので、今日のようなビジネス上の脅威にはまだなっていませんでした。ビジネス、情報技術、監査に関する私の知識は、サイバーセキュリティが本格化し始めた際に有利に働きました。その時点で、拡大しつつあった情報セキュリティ分野の管理を任されないかと打診されたのです」。

2010年代に入ると、同氏の言葉を借りれば「面白くなり始めた」時期を迎えます。これは、WannaCryやNotPetyaをはじめとする新たな大規模サイバー攻撃の時代でした。「もはや単純なコンプライアンスの問題ではないことは明白でした。これは深刻なビジネス上の脅威だったのです。サイバーセキュリティはホットな話題になりました。複雑で、革新的で、非常に興味深い分野になったのです」。

2018年までに、ゲトエ氏はケルバーITソリューションズのCISOに就任しました。そして2019年、ケルバーAGのCISOとなりました。経済学やビジネス政治学への関心から出発した人物が、大手国際企業グループのサイバーセキュリティ最高責任者へと着実に上り詰めていった軌跡は、一つのことを証明しています。ビジネスとIT、セキュリティの機能に関する深い理解さえあれば、「根っからのビットクローラー」でなくともセキュリティリーダーになれるということです。

アンドレアス・ゲトエ氏がこれまでのキャリアで受けた、良いアドバイスとは何だったのでしょうか。

「たくさんありますが」と同氏は言います。「最近のもので、私をケルバーに導いてくれたアドバイスはこうです。本当にセキュリティを理解したいなら、一つの企業や一つの業界セクターに長くとどまってはいけない、というものです」。

それは良いアドバイスだったと同氏は続けます。企業や業界セクターが異なれば、リスクプロファイルも異なります。そして、一つの場所に長くとどまりすぎると、思考が固定観念に陥ってしまう可能性があります。幅広い経験がなければ、攻撃者が攻撃手法を変える速さに合わせて、自分の考え方を変えることができないかもしれません。

「それが、私が保険業界から製造業・機械製造業へと移った理由です。何か別のことを学びたい、新しいことを経験したい、違うことをやってみたいと思ったのです」

リーダーになるということ

ある職業に従事することと、その職業でリーダーシップを発揮することは別物です。リーダーシップのスキルは純粋な専門知識にとどまりません。何がリーダーを作るのかを考えることは、いかにしてリーダーになるかを学ぶことでもあります。リーダーは生まれつきのものなのか、指導によって育つものなのか、それとも独学で身につくものなのでしょうか。

「私は生まれながらのリーダーではありません。そう考えたことは一度もありません」とゲトエ氏は語ります。「しかし、リーダーシップとは何かについて、私なりの明確な理解があります。私の考えでは、リーダーとは他者に方向性を示す人物、あるいは何をどのように達成できるかというビジョンを示す人物です」。

これは興味深い考え方です。リーダーとは基本的に、支配的な人格を持つ人物であることを示唆しています。二人以上の集団が関わる場面では常に、誰か一人が事実上のリーダーとして頭角を現します。集団が拡大するにつれ、単なる支配力だけでなく、その支配力を正当化する追加の資質が必要になります。

「それは学ぶことができるものです。突然身につくものではありません。私自身、学び、それをトレーニングコースでさらに高めてきました。もちろん、人格も重要です。信頼できる人物であること、つまり人々から信頼される人物である必要があります。そうでなければ、うまくいきません」。

要するに、他者からの信頼を生み出す強い人格が基盤になります。「それ以外の部分は」と同氏は言います。「学ぶことができるものです。そして私自身、それを学ばなければなりませんでした」。

意図と人格、そしてトレーニングさえあれば、ほとんどの人はリーダーになることができます。ただし、リーダーシップを発揮することは、必ずしも正式な管理職に就くことを意味しません。その機能は肩書きの中にあるわけではないのです。「あなたはリーダーです。それが、他の人々を特定の方向へと導き、動かす『思考のリーダー』であってもです」。

リーダーのチーム

リーダーは通常、キャリアが進むにつれてチームの中から頭角を現します。しかし、Cレベルのリーダーシップに到達すると、その関係は変化します。今度は自分自身でチームを選び、形作ることができるようになるのです。とはいえ、そのチーム作りは決して簡単ではありません。2025年のサイバーセキュリティにおける「スキルギャップ」は、280万人から480万人と推定されています。

「チームを採用する際には、希望リストがある一方で現実があります。残念ながら、両者が常に一致するとは限りません」と同氏は説明します。「しかし、経験を問わずすべての候補者に共通して求める要件が一つあります。それは、学びたいという意欲を持つ人材であることです」。

サイバーセキュリティの世界は、攻撃そのものも攻撃経路も急速に進化していると同氏は言います。「変化のスピードには本当に驚かされます。だからこそ私が常に必要としているのは、意欲的で、既成概念にとらわれずに考えられ、何が起きているのかを理解するために一歩踏み込める人材です」。

これは、あらかじめ決められた手順に従う9時から5時までの仕事ではありません。「サイバーセキュリティとは、毎日新しいことを学ばなければならない分野です。だからこそ、学ぶ意欲を持った人材が必要なのです」。トレーニングやキャリアアドバイスは提供できますし、実際に提供しています。しかし、好奇心と情熱という最初の人格的な火種は、彼にも与えることができません。「ですから、エンジニアであれ、アナリストであれ、ジュニアポジションであれ、経験があるに越したことはありませんが、学ぶ意欲があることが必須なのです」。

ハッカーを雇用することはあるのでしょうか。

「それは場合によります」と同氏は答えます。「ハッカー気質には、生まれつきの好奇心と、問題が解決するまで粘り強く取り組む能力が備わっています。しかし、ハッカーには言わば白と黒、二つのタイプがあります」。

悪意ある活動の経歴を持つ人物をケルバーで雇用することには、単純に抵抗があると同氏は言います。「ですから、ホワイトハッカーなら雇いますが、ブラックハットは雇いません」。

アンドレアス・ゲトエ氏は、野心を持つチームメンバーにどのようなキャリアアドバイスを送るのでしょうか。

「好奇心を持ち続けてください。物事は本当に変化し続けています。何についても自分がすべてを知っていると思ったなら、それは間違いです。それは絶対にあり得ません。学び、経験すべき新しいことが、常にあなたを待っているのです」。

現在最も懸念していること

今、同氏が最も懸念しているのは、単純に新技術の開発スピードです。

「ここ数週間で学んだ、新しい開発動向や新製品、一般に展開された新しい技術の数々について考えてみてください。AIはその一例です。生成AIやエージェント型AIの可能性について、私たちは毎週新しいことを学んでいます。かつては2年以上かけて起きていたことが、今ではわずか数週間で起きているのです」。

AIは特に難しい課題です。なぜなら、攻撃者と防御側の両方がAIを利用しているからです。攻撃者はAIを使って攻撃の速度、規模、巧妙さを高めています。防御側は、敵対的なAIに対抗するために自らのAIを活用していますが、その防御そのものが、別の攻撃において攻撃者に操作される可能性もあります。シャドーAI(IT部門やセキュリティ部門が把握していないAIシステムの導入)も増加しています。

「新技術のペースは、実に管理が困難です。新しい技術が登場するたびに、それを学び、理解する時間を見つけなければなりません。しかも、それはすでに抱えている業務に上乗せされるものです。そしてそれは自分だけの問題ではありません。チームの全員が新しい技術を理解する時間を見つける必要があり、すでに手一杯である彼らに対して、自分自身がその意欲を引き出さなければならないのです」。

AIはスタッフの必要人数を減らすと予想されています。CISOの役割に何らかの影響はあるのでしょうか。

「私はそうは思いません。サイバーセキュリティという役割、そして私自身の役割は、今日よりも将来さらに重要になると考えています。ただし、その形は変わるかもしれません。AIはビジネス全体に広がっており、セキュリティチームだけでは対処しきれないほど広範な問題を生み出しています。ですから、ビジネスの他の部門も巻き込んでいく必要があります。当社の製品開発チームやソフトウェア開発者たちも、今後の自社イノベーションを守るために、皆セキュリティと連携していかなければなりません」。

AIの利用拡大は、全般的なスキルレベルに影響を与えているのでしょうか。

「これは新しい問いではありません。あらゆる新技術に共通することです。Excelの登場によって人々が自力で計算する能力を失うのではないかと懸念したことを覚えています」。実際にはそうはなりませんでした。「ただ、AIについては少し事情が異なるかもしれません」と同氏は続けます。「私たちのコーダーを例に考えてみましょう。AIコーディングアシスタントは、プログラマーの上位に位置するプロンプトエンジニアやアーキテクトを必要とします。これが問題になり得るのです。自力でプログラムを組めない人材を、どうやってこのレベルから次のレベルへ引き上げればよいのでしょうか」(AIアシスタントが生成するコードのセキュリティについては、また別の問題があります)。

ゲトエ氏は、この問題がプログラマーに限られるものではないと考えています。SOC(セキュリティオペレーションセンター)のアナリストにも同様の問題が生じるでしょう。一般的な見方では、AIによってSOCの階層構造は崩れるとされています。従来のトリアージを担っていたティア1アナリストは、その業務がAIシステムによって行われるようになるため、不要になるというのです。

「セキュリティアナリストの仕事をエージェント型AIツールで代替できるとしたら、アナリストはどうやってイベントの分析方法を学べばよいのでしょうか。もしかすると将来、AIに頼りきりになれば、インシデントの中に潜む厄介な兆候、ここで何が起こり得るのか、それが何を意味するのかを見抜く能力を失ってしまうかもしれません。これは実際に起こり得ることです」。

同氏は、AIがセキュリティ人材に与える影響について考えを巡らせていますが、セキュリティという分野そのものの将来については懸念していません。「変化に対処する方法は、必ず何らか見つかると確信しています。そして正直なところ、世の中には学ぶべきことが非常に多くありますから、何かを失ってしまうという懸念はあまりないのです」。

セキュリティそのものが機能しなくなるのではなく、セキュリティチームが新しいプロセスに適応していかなければならないということです。このプロセスを導くこともまた、CISOに課せられたもう一つの責務となるでしょう。

「セキュリティチームの仕事は、将来劇的に変化していくでしょう。それが私の強い信念です。CISOの課題は、チームメンバーがこの道のりを歩み、既成概念にとらわれずに自分たちが仕事にどんな価値を付加できるかを見出せる、新たなレベルへと到達できるよう手助けすることなのです」