仕事への情熱こそが、キャリアを成功させる秘訣です。
Russ Kirby氏は2023年夏からPing IdentityのCISOを務めています。それ以前はCreditsafeでCISOを、その前はForgeRockでCISOを務めていました。さらにその前には、Hewlett Packardでグローバル責任者兼エンタープライズサービス情報セキュリティ本部ディレクターを務めていました。
生まれながらのCISO
サイバーセキュリティを職業に選んだ理由を尋ねると、Kirby氏は「自分にとってごく自然なことでした」と答えます。詳しく尋ねると、「実はエニアグラムでタイプ1なんです」と続けました。
エニアグラムとは、9つの基本的な性格パターンを描き出すフレームワークです。基本的には自己診断ですが、その結果はかなり正確だとされています。タイプ1の性格は、根本的に原則を重んじ、改善志向が強い人物であり、善良で責任感があり、道徳的に正しくありたいというのが核となる動機です。
「秩序と規律が好きで、サブタイプは『保護者』です」と彼は続けます。「だからサイバーセキュリティに惹かれるんです。題材そのものが魅力的ですし、変化のスピードにも興味をそそられますし、細部も面白い。私はかなり細部にこだわるタイプで、マクロの中にあるミクロを見つけるのが大好きなんです」
歩んできた道のり
Russ Kirby氏はこれまでずっとテクノロジーに関わる仕事をしてきました。「私はコンピューターが当たり前の存在になっていく時代に育ったジェネレーションXです」と彼は語ります。「ずいぶん昔の話になりますが、ごく若い頃からテクノロジーに魅了されていました。今何ができるのか、そして将来どんな可能性を秘めているのか、という点にです。あまり大げさに聞こえたくはありませんが、テクノロジーが人類にもたらす可能性に惹かれていたんです。だから最初からずっと、テクノロジーやコンピューターに関わる仕事をしてきました」
ただ、テクノロジー全般からサイバーセキュリティへと特化していったのは、計画的なものではありませんでした。「必要に迫られてのことでした」と彼は説明します。「当時勤めていた会社が、その役割を担う人材を必要としていたんです。私は挑戦が好きなので、引き受けました。すると、それが自分に合っていることが分かり、やりがいも感じましたし、うまくやれました。その後、非常に大きなグローバル企業[Hewlett Packard]で同様の役割を担うことになりました。そこでもやりがいを感じ、組織内でキャリアを重ねていきました」
彼はもともと戦略を主導し方向づけることが好きで、チームをまとめるのも得意でした。「CISOのポジションを探そうと決意しました。何社かと話をして、そのうちの一社が私にチャンスをくれたんです」
最初はCreditsafeでCISOを2年間、続いてForgeRockでCISOを4年間務めました。2023年夏にPing Identityへ移り、現在はエンタープライズセキュリティ、プロダクトセキュリティ、GRC、プライバシーを統括するグローバルCISOを務めています。「すべてが自然と収まるべきところに収まっていった感じです。チャンスが巡ってきて、人々が自分の会社を任せてくれるほど信頼してくれたのは、幸運だったと思います」
「幸運」というのは興味深い言葉です。シンプルに聞こえます。つまり単なる偶然だ、と。しかし、それほど単純ではありません。幸運には、偶然に対する人の反応が関わってきますし、人によって反応の仕方は異なります。おそらく幸運とは、機会とそれへの対応の組み合わせだと定義する方が正確でしょう。さらに踏み込めば、人は自ら幸運を作り出すのだという見方にもつながります。
「私の文脈で言えば」とKirby氏は言います。「幸運とは、チャンスが目の前に現れたときに、それをつかむ信念と勇気を持っていることだと思います。私はいつも、大胆に前へ進むことを厭いませんでした。ただじっと動かずにいるのではなく、そうした姿勢こそが私にとっての幸運だったのだと思います。それもまた、サイバーセキュリティの好きなところの一つです。技術面でも、ビジネスへの向き合い方でも、セキュリティへの取り組み方でも、前進しようとする意欲のある人を、この分野は本当に後押ししてくれるんです」
道しるべとなった言葉。どんな道のりにも、良い道しるべがあれば助けになります。キャリアの道のりにおいては、途中で受けた良いアドバイスが道しるべになることがよくあります。Kirby氏も、そうした道しるべをいくつも受け取ってきたと言います。「一つだけ挙げるとすれば――少しありきたりですが、心に響くものです――『完璧を良いものの敵にするな』という言葉です。完全な完璧さを追い求めることは、しばしば良い行動を妨げてしまいます」
彼は仮定の例を挙げます。「私たちの目標は、インシデントによる混乱をゼロにすることです。それが私たちが目指す『完璧』です。でも時には、正しい解決策が階下に降りて行って電源を落とすことだったりもします。それを実行できるだけの大胆さが必要なんです」
生まれながらのリーダー
シェイクスピアが最初に言った言葉があります。「偉大に生まれる者もいれば、偉大さを勝ち取る者もいれば、偉大さを押し付けられる者もいる」。「偉大さ」を「リーダーシップ」に置き換えても、この言葉は真実です。人は生まれながらのリーダーなのか、リーダーシップを学び取るものなのか、それとも人生の必要性からリーダーシップが生まれるものなのか。理由が何であれ、CISOはリーダーでなければなりません。
「私はずっと、混沌に秩序をもたらすのが好きな人間でした。それが自分という人間なんです。ルールや秩序、規律といったものを持つのが好きで、周囲の人にも同じような姿勢を根付かせることができると気づきました。それが楽しいんです。物事を調整していくのが楽しいですし、人と一緒に働き、チームを組み立てていくのも好きです。チーム内のメンバーを指導するのも本当に好きで――一人ひとりから最大限のものを引き出したいと思っています」
これは彼のタイプ1的な性格の一部です。彼はそれを、いわゆる幸運、あるいは機会というものに結びつけて考えています。「キャリアの中で携わった多くのプロジェクトで、その必要性が生じていました。そして他の人がやらないところで、私はリードする機会をつかみました。事実上のリーダーという立場にいたことが、後に人々からフルタイムでその役割を担うよう頼まれる立場につながったのだと思います」
彼にとって、リーダーになるということは、シェイクスピア的なモデルにきれいには当てはまりません。リーダーシップは生まれ持ったものでもなければ、目指して達成した目標でもなく、誰かに求められたものでもありませんでした――それは、機会をつかむという習慣に伴って自然に育まれた人格の発展だったのです。
CISOであるということ
セキュリティチームの構築。「基本的な要素はすべて見ます。テクノロジーの知識、さまざまなサイバーセキュリティのトピックへの意識、この分野やあの分野への理解――ですが、私が本当に求めているのは熱意です。多くの人がお金を稼ぐ手段としてサイバーセキュリティに飛び込んできました。実際、サイバーセキュリティは良い稼ぎになりますから、それを否定するつもりはありません。ただ、一時的な興味以上にこの仕事を続けたいのであれば、心からそれを楽しめることが必要だと思います」と彼は語ります。
「求めている役職のレベルも関係してきます。よりジュニアな役職の場合、資格はすべて揃っているけれど人生に退屈しているように見える人と、資格の一部しか持っていないけれど本当に興味を持っている人――『自分のGitHubを見せますよ。自宅の検証環境の構成を見せますよ』と言えるような人――とを比べたら、私は100個の資格を持っていても行軍に耐えているような様子の人よりも、熱意のある人を選びたくなります」
彼がチームメンバーに授ける道しるべは、自分自身が受け取ったものと同じですが、そこに「進み続け、途中で疑問を持ち続けること」という一言を加えています。
最も重要な性格特性。「自分の信念に異論を唱えられたときに、耳を傾け続けられる力です。CISOのポジションに就いた人が、これまで他の場所でやってきたやり方に何もかも合わせようと固執するのを見たことがあります。しかし、会社はそれぞれ違いますし、チームメンバーも一人ひとり違います」と彼は言います。
「CISOであれ、他のCレベルの役職であれ、このレベルで成功するには、広い視野を持てなければなりません。マクロを見て、そこからミクロを導き出す必要があります。そして自分のチームを理解しなければなりません。彼らがどう機能するのか、どうすれば最大限の力を引き出せるのかを理解する必要があります。それは一人ひとり、まったく違うものなんです」
この役割はリアクティブなのか、プロアクティブなのか? 結局のところ、彼はセキュリティがリアクティブ(受動的)なものであることは認めています。しかし、CISOの役割はできる限りプロアクティブ(能動的)であるべきだと強調します。「システムハードニングやペネトレーションテスト、脆弱性スキャンといったものでさえ、問題を能動的に見つけ出し、塞ごうとする取り組みです。今、AIの最大の活用法は、より能動的に、より先手を打てるようにする手助けをすることです」
ただし彼はこう付け加えます。「脆弱性スキャンは、パッチが当たっていない箇所を見つけるものなので、技術的にはリアクティブだと認めます。しかし、その目的は悪用される前に修正することであり、それはプロアクティブな一歩だと言えます。インシデント対応のように、純粋に発生した事象への反応という領域もあります。ですが、そこでさえ、被害を最小限に抑えようとする反応そのものがプロアクティブなんです。サイバーセキュリティの本質は、両者が入り混じったものだと思います。緊急性においてはリアクティブですが、意図においてはプロアクティブです。完全にリアクティブなものだとは、決して言いません」
これには、サイバーセキュリティの「アジリティギャップ」も関わってきます。アジリティギャップとは、攻撃者が防御側よりも速く新しい技術を採用していく状況を表す言葉として、今注目を集めている用語です。その結果、防御側は新たな攻撃に対応せざるを得なくなります。しかし、それでもKirby氏の基本的な主張は変わりません。サイバーセキュリティは常に、攻撃者よりも先手を打とうと能動的に努めるべきだ、というものです。
バーンアウト。バーンアウトは、過重労働とストレスによって主に引き起こされる、よく知られた複雑な問題です。CISOにもセキュリティチームにも影響を及ぼしかねませんが、すべての人に影響するわけではありません。カギを握るのは、ストレスから逃れたり、和らげたりする手段があるかどうかのようです。
Kirby氏は、自分は「かなり在任期間の長いCISO」だと指摘します。実際、多くの他のCISOの短い在任期間に比べればずっと長く続けています。彼はこれまで一度もバーンアウトに陥ったことがなく、それはこの仕事への情熱のおかげだと考えています。「もし宝くじに当たって、何でも好きなことができるとしても、私はおそらくサイバーセキュリティをやるでしょう」
彼は、CISOをバーンアウトに追い込むプレッシャーを認識していないわけではありません。「CISOの役割は劇的なスピードで進化し、変化しています。かつてCISOは物置部屋のような場所にいましたが、今は役員室にいます。ただ、自分自身の責任である大きな決断を下す際には、友人や他のCISOとのネットワークが支えになってくれます」
つまりKirby氏にとって、絶え間ないストレスから必要な「解放」となっているのは、仕事を楽しむことと、周囲からの支えのようです。彼の役割の一部は、チームメンバーにも同様のバーンアウトからの解放を与えることです。「CISOは自分のチームを守らなければなりません。世の中からの理不尽な要求は、常に存在します。理事会からの理不尽な要求だと言う人もいますが、それは違います。あなたに最も影響を及ぼすのは、たいてい世の中からの理不尽な要求の方です」
これは仕事の一部かもしれません。たとえば攻撃者が新しい技術を採用し利用するスピードなどです。あるいは仕事以外の要因、たとえば家庭でのプレッシャーや、もはや楽しめなくなった仕事にあなたを縛り付ける大きな住宅ローンなどもそうです。「あるとき、チームメンバーの一人を呼び止めて、こう言ったことがあります。『家に帰って、家族や配偶者、大切な人たちと過ごす時間を持ちなさい。もしそうしないなら、私があなたのパソコンの電源を切って、家にいるしかない状況にしてしまいますよ』と」
ストレスからの解放のカギとなるのは、楽しむことです。彼はチームメンバーを採用する際にサイバーセキュリティへの情熱を求め、仕事の中でもその情熱と楽しさを維持しようと努めています。それはより効率的なチームにつながるだけでなく、バーンアウトを防ぐことにもつながります。
お決まりの質問:このCISOの夜の眠りを妨げるものは?
「カフェイン以外で、という意味ですよね」と彼は言います。「正直、口にするのも嫌なのですが、今のところはAIです。率直に言えば、その急速な普及こそが私を眠れなくさせているんです。私たちは、自分たちが解き放とうとしている『怪物』を本当に理解できているのでしょうか。それが、このお決まりの質問に対する私なりのシンプルな答えだと思います」
ここにも、あのアジリティギャップの要素があります。
彼はAIという課題に、教育を通じて対応しようとしています。「私たちは自ら学び、情報を得て、その悪用を防ぎ、また対応するための計画を立てています。すべてをコントロールすることはできませんが、予防策の一環として私たち自身もAIを活用しています」
AIは、今の時代における最大のストレス要因です。単に新しく、あまり理解されていない技術というだけではなく、その進化のスピードそのものによって絶えず自らを更新し続けています。今起きている問題は、今後数か月、数年のうちにさらに深刻化していくでしょう。
とはいえ、これは懸念事項ではあるものの、Kirby氏はこれを自分にとっても他のCISOにとっても根本的に新しい懸念だとは考えていません。「これは、あらゆる新しい技術に伴って繰り返されるサイクルにすぎません。フロッピーディスクが発明されたときには、人々はフロッピーディスクによるデータ盗難を心配していました。インターネットが発明されたときには、回線を通じて情報が失われることを人々は心配していました」
これはサイバーセキュリティにおける「もぐらたたき」ゲームのようなものです。新しい技術を手にした攻撃者が頭を出せば、防御側はハンマーでそれを叩く速さを持たなければなりません。
「進歩と技術は、課題とリスクをもたらします。そして、その課題とリスクは年ごとに、時には日ごとに、異なる形で現れてきます」。AIは現在のストレス要因かもしれませんが、「それこそが、サイバーセキュリティをこれほど興味深い分野にしている理由の一つなんです」と彼は語ります。
「私たちは、新たなリスクが生じるたびに、それを探究し、対策を講じ、対抗していくことができます。あと数年もすれば、私たちは『AI』という言葉すら使わなくなるでしょう。それはただの『コンピューティング』か、何か普通の言葉で呼ばれるようになるはずです。そして、私たちが乗り越えなければならない次の課題が現れ、私たちはそれを受け入れ、乗り越えていく。そのまた次の課題も、同じように」
翻訳元: https://www.securityweek.com/ciso-conversation-russ-kirby-passion-is-the-antidote-to-burnout/
