最高情報セキュリティ責任者(CISO)という役職は、この30年間で劇的な変貌を遂げてきました。当初は新興の技術職に過ぎなかったこの役割は、今やビジネスにおいて最も戦略的に重要なリーダーシップの一つへと進化しています。その進化の過程を間近で見てきた人物は多くありませんが、チャールズ・ブラウナー氏はその一人です。同氏は情報セキュリティという分野の黎明期にこの世界へ足を踏み入れ、その後JPMorgan、Citigroup、Deutsche BankでCISOを歴任しました。
「Heard It From a CISO」の今回のエピソードでは、CISOという役職の「ゴッドファーザー」と称されるスティーブ・カッツ氏から受けた影響について、ブラウナー氏が振り返ります。メンターシップ、協力関係、そして「恩返しの文化」がこの職業をどのように形作ってきたのかを語ります。さらに同氏は、今日のセキュリティリーダーが単なる技術専門家であることを超えて求められる資質について論じ、レジリエンス(回復力)、コミュニケーション能力、そしてビジネス感覚こそが、成功するCISOをますます特徴づける要素になっていると主張します。
サイバーセキュリティのリーダーは、他の経営幹部がほとんど経験しない課題に直面しています。彼らの成功は、自分を失敗させることをフルタイムの仕事とする敵対者の先を行き続けられるかどうかにかかっているのです。このベテラン経営幹部によれば、この現実こそがCISOという役職を経営陣の中でも他に類を見ないものにしており、最も過酷な役職の一つにしているといいます。
この対談でブラウナー氏は、サイバーセキュリティを志す人々へのキャリアアドバイスを語り、たった一人のメンターを見つけるよりもメンターのネットワークを築くことの重要性を説明し、優れたCISOとそれ以外を分ける資質について自らの見解を共有します。またその過程で、AIがセキュリティ職に与える影響にも触れ、サイバーセキュリティの未来はテクノロジーを守ることだけでなく、組織が持続的な業務レジリエンスを築く手助けをすることにあると主張します。
本記事は、Dark Readingが継続的に展開する動画シリーズ「Heard It From a CISO」の一環です。同シリーズでは、現場で活躍するサイバーセキュリティリーダーたちとの率直かつ独占的な対談をお届けしています。シリーズ全体はこちらからご覧いただけます。
Heard It From a CISO: チャールズ・ブラウナー氏 全文書き起こし
本書き起こしは、Informa TechTargetの社内AIアシスタントにより、読みやすさと長さを考慮して編集されています。完全な内容は動画にてご覧ください。
Dark Reading クリスティーナ・ビーク: こんにちは。Dark Readingのアソシエイトエディター、クリスティーナ・ビークです。「Heard It From a CISO」の新しいエピソードへようこそ。本日はチャールズ・ブラウナー氏にお越しいただきました。本日はどうもありがとうございます。
チャールズ・ブラウナー: こちらこそ光栄です、クリスティーナ。
DR クリスティーナ・ビーク: 早速ですが、まずはご自身の自己紹介と経歴について教えていただけますか。
チャールズ・ブラウナー: チャールズ・ブラウナーです。私の経歴はかなり昔にさかのぼります。私はコンピュータサイエンス専攻で、電話会社を支援するBell Communications Researchという会社で働いていました。そのころ、ハッキングというものが始まったのです。
そしてある時から突然、セキュリティが必要だと皆が考えるようになり、私は幸運にも情報セキュリティがまさに一つの分野として確立され始めた、その始まりの時期に居合わせることができました。90年代半ばに銀行業界へ移り、キャリアの大半をそこで過ごしました。その後、20年余りにわたってJPMorgan、Deutsche Bank、CitigroupのCISOを務めました。そして現在はCrosspointe Capitalでオペレーティング・パートナーを務めています。
DR クリスティーナ・ビーク: あなたは、いわば初代CISOであったスティーブ・カッツ氏に師事されたと伺っています。カッツ氏はサイバーセキュリティ、そしてCISOという役職の生みの親、あなたの言葉で言えば「ゴッドファーザー」と称される存在です。カッツ氏がCISOという役職を創り上げ、確立していく過程での役割について、そしてそれがどのような前例を築いたと思われるか、お聞かせください。
チャールズ・ブラウナー: そのご質問には、いくつもの側面がありますね。前例が築かれたのは1994年、実際にその肩書きが創設され、スティーブがその職に就いたときのことです。当然ながら、スティーブがその肩書きを引き受けたとき、その仕事が具体的に何を意味するのか、誰も本当のところは分かっていませんでした。私たちはまさにゼロから始めていたからです。だからこそ、私たちの多くがスティーブをいわば「ゴッドファーザー」とみなしているのだと思います。あの非常に初期のCISOたちの集まりの中で、スティーブは1995年、私は1997年に就任し、他にもロン・マクリーンをはじめ数人がいました。私たちの誰一人として、自分が何をしているのか本当の意味では分かっていませんでした。しかし、私たちにはリーダーがいました。ビジョナリーがいました。それがスティーブだったのです。
そうして私たちは皆、自分たちの力でCISOという肩書きが本当に意味するところを一緒に定義していきました。そして正直なところ、それはあれから30年経った今も進化を続けています。ただ、スティーブが築いた前例、いや二つの重要な前例があったと思います。一つは、これは「集団」で取り組むべきものだという前例をスティーブが築いたことです。私たちは一人では到底できないため、協力し合わなければなりませんでした。そして数年後、ISACが誕生し、スティーブと私、そして他の数人がその中心となりました。つまり最初の教訓は「集団防衛」ということです。
二つ目に、スティーブという人物、そして彼から学んだ私たちにとって非常に重要だったのは、彼が自分の時間を惜しみなく人に与える、私が今まで出会った中で最も気前の良い人物だったということです。キャリアの終盤、そして人生の終盤に至るまで、彼はCISOたちを指導し、営業担当者を指導し、助けを必要としていると感じた良き人物であれば誰でも指導していました。中には、必ずしも良い人物だとは思っていなくても、本当に助けが必要だと感じた相手さえ指導していました。こうしてスティーブは、メンタリングの文化、そしてただひたすらコミュニティに恩返しをする文化を築き上げたのです。つまりこれは単なる集団防衛の話ではなく、それが本当に機能するためには、私たち全員が実際に恩を返し、次の世代へつなげていく必要があるということでした。あの最初の世代のCISOたち、例えばフィル・ヴェンタブルズや私自身を見てみると、おそらくその世代の中で今もある程度現役で活動しているのは、私たち二人くらいのものでしょう。私たち二人だけでも、自分たちの「家系」から輩出されたCISOは120人を優に超えます。
さらに、私たちの下で直接働いたわけではないものの、道中で指導してきた人はその2倍から3倍はいるでしょう。フィルの代わりに答えるつもりはありませんが、もし彼に尋ねれば、その功績の大部分はスティーブが築き上げた文化にあると答えるはずだと確信しています。
DR クリスティーナ・ビーク: 本当にそうですね。スティーブがそのようなレガシーを築き上げたというのは素晴らしいことです。メンターシップの話から、次の質問につながります。あなたにとってメンターシップは非常に重要なものだと想像しています。今日、サイバーセキュリティに携わる人々に対して、自社内であれ社外であれ、メンターを探すよう勧めますか。また、上の立場にある人々には、恩返しのためにメンティー(指導対象)を探すよう勧めますか。
チャールズ・ブラウナー: その質問への答えは間違いなくイエスです。ただ、もう少し広い視点でお答えしたいと思います。
DR クリスティーナ・ビーク: なるほど。
チャールズ・ブラウナー: もし私がキャリアの初期にいる人間だとしたら、一人のメンターを探すのではありません。何人ものメンターを探すのです。
DR クリスティーナ・ビーク: なるほど。
チャールズ・ブラウナー: そして、もし私がキャリアの後半にいる人間だとしたら、幸運にも良いメンタリングを受けてきたのなら、今度は自分がそれを次に伝える番だと考えるべきです。私が最後に就いた正式な役職では、組織内で非公式のメンタリング・プログラムを作ったことがありました。ただし、メンターになるための条件の一つは、自分自身もメンティーであるということでした。
つまり、たとえばあなたがディレクターで、マネージング・ディレクターをメンターに持っているなら、あなた自身もシニア・バイスプレジデントをメンティーとして持たなければならない、ということです。いわば、入る際に対価を払い、それを返していく仕組みです。ですから、メンタリングは非常に重要です。そしてメンタリングもまた、あのコミュニティという織物の一部だという考え方に立ち返ります。つまり、メンターやメンティーを個別に探すだけでなく、ネットワークを築くべきなのです。そのネットワークの中の人々の一部はメンターになり、一部はメンティーになるでしょう。しかし、そのネットワークこそがCISO、そしてサイバー空間に関わる誰にとっても本当に重要なのです。
DR クリスティーナ・ビーク: ええ、まさにその通りですね。メンタリングが明らかに重要だとおっしゃいましたが、特にCISOに関して、あなたはかつてこの職を社内で二番目に難しい仕事だと表現されたことがあります。おそらくそれこそが、コミュニティがこれほど重要である理由なのでしょう。なぜその役職をそれほど困難なものだと表現されたのですか。
チャールズ・ブラウナー: CEOの役職が、あらゆる大企業において最も困難であることは明らかです。なぜなら、最終的には彼らが最終決定を下す責任者だからです。しかし、組織内の他の「C」の付く役職、つまりCIO、CTO、CFO、人事の最高責任者、組織によってはチーフ・リスク・オフィサーを考えてみると、いずれも比較的明確に定義された職務と、比較的明確に定義された成功基準を持っています。そして、彼らを支えるための組織全体が存在します。
多くの点でCISOも似ていますが、CISOが他のすべてのCXOと決定的に異なるのは、実際に「能動的な敵対者」を抱えているという点です。自分が積み上げてきたものすべてを壊すことだけを存在意義とする相手が、実際に存在するのです。
DR クリスティーナ・ビーク: なるほど。
チャールズ・ブラウナー: CFOには敵対者はいません。予算を削減したりすることで友人を失うことはあるかもしれませんが、CFOに敵対者がいるわけではありません。
CIOにも敵対者はいません。CIOには数多くの課題がありますが、その人物がやっていることを一分一秒かけて出し抜き、壊そうとする者は存在しません。
しかしCISOはそうではありません。CISOは、他の上級リーダーが抱えるあらゆるプレッシャーに加えて、能動的な敵対者を抱えています。毎日、あなたを失敗させる新たな方法を探し続けている相手がいるのです。犯罪者が成功するということは、CISOが失敗するということだからです。これは単純化しすぎた表現かもしれませんが、実際にあなたを失敗させることを仕事にしている相手がいる、というのは完全に他とは異なる点なのです。
DR クリスティーナ・ビーク: 今、ふと思い浮かんだ質問があります。Dark Readingのウェブサイトをスクロールしていると、私たちがCISOに対して厳し過ぎるのではないか、彼らの仕事が難しすぎるのではないかといった論考記事を目にすることがあります。ある企業でその役職に就く人物の入れ替わりが非常に激しいことも、その理由の一つかもしれません。あなたはこの見方に賛成ですか、それとも反対ですか。
チャールズ・ブラウナー: まず第一に、私はこの仕事が難しすぎるとは思いません。ただ、その仕事をこなすには特定のタイプの人間が必要だと思います。ですから、難しすぎるということは決してありません。ただ一つ、重要な考慮点として言えるのは、あなたが説明したような苦労が存在する理由の一部は、人々が使う言葉やフレームワークに、しばしば断絶があるためだということです。
CISOは、ビジネス側の人々と話すときに、彼らが理解できる枠組みに落とし込んで話すようにすれば、もっと好感を持たれ、もっと受け入れられ、もっとうまく組織に統合されるはずです。
DR クリスティーナ・ビーク: なるほど。
チャールズ・ブラウナー: 多くのCISOが苦戦しているのはまさにそこです。自分たちが日々当たり前のように扱っている技術的な話が、彼らにとってはごく自然なことであっても、聞く側にとってはそうではないということを忘れてしまうのです。
もしあなたがチョコレート製造部門の責任者と話しているとして、相手があなたの言っていることの意味をわずかでも理解していると思いますか。
しかし、そのチョコレート担当者に向けてこう伝えたらどうでしょう。「あなたがこれを気にすべき理由は、これによってチョコレートの製造能力が妨げられたり、誰かがチョコレートの風味に手を加えたりする可能性があるからです」と。
そうすれば、チョコレート担当者は気にかけるようになります。
DR クリスティーナ・ビーク: なるほど。
チャールズ・ブラウナー: そうなんです、つまり…
これは私たちがCISOという役割において実際に背負わなければならない負担なのです。自分たちの言葉で話す方が簡単ではありますが、もし人々に共感してもらいたい、賛同してもらいたい、自分の考えに歩調を合わせてもらいたいのであれば、CISOとして一歩踏み出し、相手の枠組みに翻訳する努力をしなければなりません。
DR クリスティーナ・ビーク: なるほど。コミュニケーションが非常に重要だとおっしゃいましたが、CISOになるには特定のタイプの人間が必要だともおっしゃいました。どのような人物、あるいはどのような資質が、この役職で成功するために不可欠だとお考えですか。
チャールズ・ブラウナー: おお、それはいくつもありますね。実は以前、CISOという役職についての講演を丸ごと一つ行ったことがあり、8つか10ほどの資質を挙げたと記憶していますが、コミュニケーション以外では、最も重要なものが二つか三つあります。
最も重要なのは、レジリエント(回復力がある)であることです。これは厳しい仕事です。経営陣との間で、時に荒々しく不愉快な会議を経験することもあるでしょう。だからこそ、レジリエントであること、そしてこうした出来事を個人的に受け止めないことが必要です。意見の相違があって会議でこてんぱんにやられたとき、それを個人的に受け止めてしまうのは簡単です。しかし、個人的に受け止めずに会議を乗り切り、その後どう前進していくかを考えることもできます。
もし個人的に受け止めてしまえば、あなたは腑抜けになり、どこかの隅に隠れたくなってしまうでしょう。ですから、コミュニケーション能力に加えて、レジリエンスは本当に重要だと思います。
また、必ずしも十分なデータがない環境で意思決定を行うことに、本当の意味で慣れている必要があると思います。なぜなら、CISOが最も真価を発揮すべき場面は「危機」の時だからです。
そして危機の最中には、めったに十分なデータがない状態で迅速に意思決定を下さなければなりません。自分の信念を貫く勇気を持って良い決断を下し、素早く決断を下すこと、そして時には自分が間違えたことを素早く認識し、方向転換することも理解しておく必要があります。ですから、それらがおそらく最も重要なものだと言えるでしょう。技術的なことは学べますが、レジリエントであること、優れたコミュニケーターであることは、もう少し生来の資質に近いものです。
DR クリスティーナ・ビーク: なるほど、それは納得です。技術的な話に触れましたが、CISOのレベルに限らず、これからサイバーセキュリティの世界に入ろうとする人々、たとえばエントリーレベルの専門家や、これからサイバーセキュリティへ転向しようとする人々にとって、明らかにサイバーセキュリティに入る道は様々あります。あなたは大学の学位をお持ちだとおっしゃいましたが…
チャールズ・ブラウナー: コンピュータサイエンスですね。私の世代では珍しいものでしたが、今日ではかなり一般的です。
DR クリスティーナ・ビーク: この分野に入りたい人にとって、最良の道筋として何をお勧めしますか。
チャールズ・ブラウナー: まったく満足のいかない答えをすることになりますが、最良の道というものは存在しません。数年間、私はあるワークショップを主催していましたが、その最初のセッションは常にキャリアの歩みについてで、そこには多様な背景を持つ人々を招いていました。そのセッションから誰もが得る重要な気づきは、「なるほど、CISOになるための唯一の道などないのだ」ということでした。
実のところ、私たちはサイバーセキュリティをまるで一つの大きな塊であるかのように語りがちです。しかし、サイバーセキュリティの中には、非常に深い技術力が求められる領域もあります。たとえばエンジニアリングの仕事をしている場合、ペネトレーションテスターの場合、あるいはキャリアを積んでセキュリティアーキテクトになろうとしている場合などです。
しかし、まったく非技術的な領域もあります。たとえばリスクマネージャーとして、事業部門と協力しながら、彼らのリスクポスチャーがどのようなものかを評価する手助けをする場合です。それは技術的なことではなく、むしろビジネスセンスが求められる仕事です。
DR クリスティーナ・ビーク: なるほど。
チャールズ・ブラウナー: インテリジェンス・アナリストという道もあり、これもまた異なるスキルセットが求められます。つまり、サイバー関連の仕事には様々な種類があり、それぞれ異なるスキルセットが必要とされます。そしてCISOへの唯一正しい道というものは存在しません。
今日のCISOの大半は、より技術的な背景を持つようになってきていると思います。しかし、だからといって、優れたCISOになるために深い技術力が必須だとは思いません。
DR クリスティーナ・ビーク: サイバーセキュリティには様々な種類の仕事や役割があるとおっしゃいました。当然ながら、多くの人がAIの台頭や存在感の高まりを懸念していることと思います。AI自体は必ずしも新しいものではありませんが、以前あなたは、人々をより怯えさせているのはむしろ大規模言語モデル(LLM)の方だとおっしゃっていました。仕事を失うのではないか、あるいはサイバーセキュリティに自分たちの居場所がなくなるのではないかと懸念している人々に、何と言葉をかけますか。
チャールズ・ブラウナー: 私が言いたいのは、本当に才能のある人材は、概して常に仕事があるということです。AIがサイバーセキュリティという分野そのものを消滅させることはありません。単に、私たちが注力し、懸念すべき対象が変わるだけです。本当に退屈で単調な作業の多くは、AIが徹底的に自動化してくれるでしょう。しかし、事業リーダーと座って彼らのリスクプロファイルについて話す人、戦略的なアーキテクチャの意思決定について本当に深く考える人、そうした人材のニーズは変わりません。仕事の性質は変わりますが、セキュリティの必要性そのものは変わらないのです。
誰もが、あらゆるAIコーディングツールの登場によって開発者がいなくなると語っています。しかし開発者はいなくなりません。AIコーディングツールが変えたのは、彼らが仕事をする際の抽象化のレベルだけです。
しかし、AIツールによって、SOCの担当者はより重要で興味深い作業に取り組めるようになります。誤検知や検知漏れを把握・管理するような退屈な作業の多くを、AIがうまくこなしてくれるようになるからです。
SOCは依然として必要とされ続けます。ただ、そこで行う仕事がより興味深いものになっていくのです。
DR クリスティーナ・ビーク: ええ、まさにその通りですね。サイバーセキュリティにおける変化というテーマで、そろそろお時間となってまいりました。ですので最後の質問とさせていただきます。どのように解釈していただいても構いません。あなたにとって、サイバーセキュリティの未来はどのような姿に見えますか。
チャールズ・ブラウナー: これまで語ってきたことと、基本的には一貫した答えになります。
私たちはこの分野全体が、「情報セキュリティ」という概念から「サイバーセキュリティ」へと進化していくのを見てきました。
しかし、長期的に本当にたどり着くべき場所は、業務レジリエンス、すなわちビジネスレジリエンスなのです。私はサイバーセキュリティというテーマ全体が、業務レジリエンスに関するより広範な議論へと進化していくと考えています。そして、そのように考え始めると、実際に大きな利点の一つとして、事業とのアラインメントがはるかに強まるということが挙げられます。なぜなら、業務レジリエンスという観点から物事を考えるとき、出発点となるのは「自社にとって重要な事業プロセスは何か」「事業は実際にどのように顧客にサービスを提供し、使命を果たしているのか」という問いだからです。
サイバーをその重要な一要素として位置づけつつ、そのロードマップを取り入れ、レジリエンスのリーダーになっていくCISOこそが、最も自然な形で真のビジネスリーダーへと成長していく人物になるでしょう。
DR クリスティーナ・ビーク: まさにその通りですね。本日はお時間をいただき、本当にありがとうございました。とても楽しい対談でした。素晴らしい内容でした。そして、これは多くの人々にとって非常に有益なものになると確信しています。本当にありがとうございました。
チャールズ・ブラウナー: こちらこそ光栄です。良い午後をお過ごしください。それでは。
