CISO疲労に本当の解決策はあるのか

OPINION

OmdiaとISSAが実施した第8回年次調査「Life and Times of Cybersecurity Professionals」によると、仕事に対してストレスをまったく感じていないと答えたサイバーセキュリティ専門家はわずか2%にとどまりました。さらに、68%が過去2年間で仕事の負荷が明らかに増したと回答しています。この2つの数字の差は、この職業においてストレスがもはや「職業上のリスク」ではなく「当たり前の状態」になったことを物語っており、この変化はセキュリティリーダーがそのギャップから導き出すべき結論そのものを変えてしまいます。

こうした数字に対する一般的な反応は、人材面の議論です。すなわち、少なすぎる人員に過大な圧力がかかっているのだから、採用を増やすか、賃金を引き上げれば解決するという発想です。どちらの対策もすでに業界全体で進められていますが、いずれもギャップを埋めるには至っていません。実際、回答者の47%が過去1年以内に現在の仕事、あるいはこの職業そのものを辞めることを考えたと答えています。同じ調査が8年連続で同じ結果を示しているという事実は、サイバーセキュリティという職業自体の設計に欠陥があることを示しています。そしてその欠陥は、組織の構造的な問題が最初に表面化しやすい立場にいるセキュリティリーダーが、最も直接的に体感することになります。

早期警報システムとしてのCISO

人材の問題としてではなく、診断上のシグナルとして捉えると、CISO疲労の見え方は変わってきます。燃え尽きて、多くの場合そのまま離職していくセキュリティリーダーの姿は、かつて炭鉱に連れて行かれたカナリアを思わせます。カナリアは一酸化炭素やメタンといった有毒ガスに対して人間よりもはるかに敏感なため、炭鉱作業員自身が異変に気づくよりもずっと早く、苦しみ始めたり死んでしまったりします。同様に、これほど高く、しかも一貫したレベルのストレスにさらされ続けるCISOの存在は、組織のレジリエンス(回復力)が低下しているというシグナルであり、他のどこよりも早くそれを示す指標となっているのです。この記事を読んでいるCISOの方は、炭鉱のカナリアに例えられることに気分を害するかもしれませんが、その例えは的を射ています。今日、情報とITが常に利用可能であることに依存していない企業はほとんど存在しません。だからこそ、その保護を担う人々が苦しんでいるという事実こそが、早期警報のサインなのです。

今回の調査データは、そのシグナルの背後にある具体的なメカニズムを明らかにしています。回答者の72%が、サイバーセキュリティ部門を関与させずに技術面の意思決定が行われていると答え、69%はセキュリティを「共に作り上げるもの」ではなく「業務が回避していく対象」だと表現しています。これらの数字が合わさって示しているのは、実質的な責任は負わされている一方で、実質的な権限はほとんど与えられていないという役職の実態です。セキュリティリーダーは、自分がその場にいない上流で他の人々によって決められた結果について、説明責任を負わされているのです。慢性的なストレスは、この構造から予測可能な形で生まれます。それを引き起こしているのは脅威の量そのものというより、意思決定の連鎖におけるセキュリティの立ち位置なのです。

報酬と評価指標という罠

報酬は、組織がまず頼りにする対策ですが、それはかえって罠を締め付ける結果になりかねません。給与が上がれば、双方の期待値も上がります。組織はより高い費用をかけた人材により多くを求め、セキュリティリーダーの側もそれに見合うだけの裁量を期待するようになりますが、ストレスを生み出した構造的な条件そのものは変わらないままです。業績評価指標はこの効果をさらに強めます。監査の完了件数、パッチ適用件数、アラート対応件数といった「活動量」で成功が測られる場合、実際に効果を上げることよりも忙しそうに見せることにインセンティブが働いてしまい、間違った成果を軸に据えたインセンティブ設計は、どんな報酬体系を組んでも修正できません。

技術スタックも同様の効果を生みますが、そのメカニズムは日々の運用負荷よりもさらに根深いものです。調査回答者は、連携していない乱立したツール群を整理することを、最も一般的なストレス要因の一つに挙げています。断片化したスタックは可視性のギャップを生み、対症療法的な火消し対応を強いるだけでなく、統合の失敗がアラートノイズとして表面化し、本来なら経営陣との関係構築などのリーダーシップ業務――同じ調査でCISOにとって最も価値があると位置づけられている業務――に振り向けるべき時間を、ベンダー管理に奪ってしまいます。

仮に、あるセキュリティリーダーが、本来なら1つの統合プラットフォームとして機能し得る十数個の個別ソリューションの更新交渉に、年間10週間を費やしているとしましょう。それは、ISSAのデータが職務満足度、そして長期的には定着率の最大の要因として挙げている、経営幹部との関係構築や部門横断的な信頼関係の醸成に充てられなかった10週間を意味します。

バーチャルCISOをめぐる、より難しい問い

フルタイムでCISOを任命している組織の割合は、わずか1年で76%から63%へと減少した一方、バーチャルCISOや非常勤CISOの活用は同期間でおよそ3倍に増加しました。この体制は特定の状況にはよく適合します。小規模な組織、過渡期にある組織、そして役割として求められているのが日々の常駐対応ではなく戦略的な監督である程度に成熟した環境などです。

しかし、同じ調査は、この役職をアウトソーシングする方向へのより広範な流れに一石を投じてもいます。経営陣がサイバーセキュリティにどれだけコミットしているかは、ISSAとOmdiaが測定した職務満足度の要因の中で報酬を上回る最大のドライバーであり、そのコミットメントは組織の内部から築き上げるべきものであって、パートタイムの契約で外部から調達できるものではありません。

さらに踏み込めば、より難しい問いが浮かび上がります。ポリシーの統合、コンプライアンス報告、取締役会への報告に業務が縮小されたCISOの役割は、ますます自動化しやすくなっていきます。まさにそうした機能だけを軸に組み立てられたバーチャル型の契約形態は、その先細りに歯止めをかけるどころか、むしろ加速させてしまいます。信頼関係の構築、社内政治への対応、個人としての説明責任、組織文化におけるリーダーシップ――これらはいずれも、パートタイムで外部にある関係にはうまく移植できません。なぜなら、そのどれもが誰かがフルタイムでその席に座っていることを前提としているからです。この流れを突き詰めていくと、バーチャルCISOというトレンドは、本来守ろうとしていたはずの役職そのものを解体しかねないリスクをはらんでいます。

3種類のレジリエンス、そして1つの設計上の問題

これらを総合すると、この調査が示唆する問題の本質は、多くの組織が採用しているサイバーセキュリティ管理モデルの設計そのものにあります。求められる対策は、データに表れている3種類のレジリエンスと重なります。

説明責任に見合った権限――構造的な罠において欠けているピース――は、個人のレジリエンスの一要素であり、目の前の状況に対して影響力を持つということです。ビジネス上の意思決定に対して後から反応するのではなく、その前段階でセキュリティが席を占めること――自らが形作る機会を得られなかった結果について説明責任を負わされるという役割の問題を解決するもの――は、運用面のレジリエンスです。アラートノイズを増やすのではなく、真の可視性をもたらす安定的でプロセスに組み込まれた技術基盤――断片化したスタックの問題を解決するもの――は、サイバーレジリエンスです。

これは人材や技術の問題ではありません。もっとも、この分野が両方ともさらに必要としていることに変わりはありませんが。これは設計の問題であり、CISOはまさにその設計上の失敗が最も目に見える形で集約する場所に位置しています。これこそが、あのカナリアがずっと発し続けてきた警告であり、問われているのは、組織があとどれだけの間、その鳴き声を放置し続けるつもりなのかということです。