サイバー脅威が猛烈な速度で進化し、金融機関が高度な攻撃者にとって格好の標的であり続ける時代において、最高情報セキュリティ責任者(CISO)の役割は、これまで以上に重要かつ複雑なものになっています。グローバル銀行のスタンダードチャータードでグループCISOを務めるチェザリー・ピエカルスキ氏は、現代のセキュリティ経営幹部像を体現する存在です。彼はテクノロジーの専門家であり、ビジネス戦略家であり、そして組織文化の設計者でもあります。幼少期の技術いじりから、グローバル銀行のサイバーセキュリティを率いる立場に至るまでの彼の歩みは、技術的な専門知識がいかにして戦略的なリーダーシップへと昇華していくかを教えてくれます。
Dark Readingの「Heard It From a CISO」シリーズによるこのインタビューで、ピエカルスキ氏は、成功するサイバーセキュリティはテクノロジーだけで築かれるものではなく、共通の目的意識で結ばれたミッション主導のチームによって築かれるという揺るぎない信念を語ってくれました。眠れぬ夜がつきものの業界にあって、彼は「生産的に悩む」術を身につけたといいます。この仕事にまつわる不安を、顧客や同僚、そしてより広い金融エコシステムを守るための行動へと転換しているのです。ピエカルスキ氏はこのアプローチを通じて、テクノロジーとビジネスの狭間に立つ経営幹部は、商業的なトレードオフを理解する経営者であり、戦略の方向性を形作るテクノロジーのビジョナリーであり、そして組織全体にセキュリティ意識を根付かせる文化的な影響力者でなければならないと論じています。
これは、人工知能が防御能力と脅威の両方の姿を作り変えつつある今、なおさら当てはまることは言うまでもありません。ピエカルスキ氏は、AIの台頭を雇用を奪う破壊的な変化としてではなく、新たなスキルを求める進化として捉えており、むしろより多くの人材をサイバーセキュリティ分野に呼び込む契機になるとみています。彼が描く未来像は、セキュリティがますます自動化され、インテリジェンス主導型になっていく世界です。専門家たちは、現場で手を動かす防御担当者から、高度な防御システムを取りまとめるキュレーターへと役割を移していくことになります。ピエカルスキ氏の視点は、大手金融機関を守るという現実に根差しながらも、この職業と分野の行く末に対して楽観的な姿勢に貫かれていると彼自身は語っています。
Dark Reading副編集長のクリスティーナ・ビーク氏との対談の中で、ピエカルスキ氏は、世界トップクラスのセキュリティチームを築く上での課題や、サイバーリスクを経営層に伝える技術、そして金融セクターの規制面での成熟度が、この業界に独自の説明責任を課すと同時に、サイバーセキュリティ分野のイノベーションを主導するのに有利な立場を与えている理由について語りました。
本稿は、最前線で活躍するサイバーセキュリティのリーダーたちとの率直で独占的な対談を特集する、Dark Readingの継続企画「Heard It From a CISO」動画シリーズの一環です。シリーズ全体はこちらからご覧いただけます。
Heard It From a CISO:スタンダードチャータードのチェザリー・ピエカルスキ氏 全文書き起こし
この書き起こしは、Informa TechTargetの社内AIアシスタントにより、読みやすさと長さの観点から編集されています。完全な内容については、動画をご視聴ください。
Dark Reading クリスティーナ・ビーク: 皆さん、こんにちは。Dark Reading副編集長のクリスティーナ・ビークです。本日はチェザリー・ピエカルスキ氏をお迎えしています。チェザリーさん、本日はお越しいただきありがとうございます。この対談をとても楽しみにしていました。まずは自己紹介をお願いできますか。
チェザリー・ピエカルスキ: クリスティーナさん、そして皆さん、こんにちは。お招きいただきありがとうございます。私はチェザリー・ピエカルスキと申します。スタンダードチャータード・グループでグループCISOを務めています。
DR クリスティーナ・ビーク: まずは原点からお伺いしたいのですが、そもそもサイバーセキュリティに興味を持ったきっかけを教えていただけますか。この分野への関心に火をつけた、特定の瞬間や体験はありましたか。
チェザリー・ピエカルスキ: かなり昔のことですが、記憶をたどると、私にとって形成的な体験は2つありました。1つは、初期のテクノロジーをいじり回したこと。おそらくSlackware Linuxの黎明期あたりだったと思います。そして、何かを壊しては直すということへの初期の関心です。もう1つは、クリフォード・ストールという人物が書いた『カッコウはコンピュータに卵を産む』という本です。おそらく、他のCISOたちとの対話の中でもこの本の話を耳にされたのではないでしょうか。これは、ハッキングと防御をめぐる、非常に初期の物語です。そしてこれが、私の10代の頃に関心の種をまいたのだと思います。
DR クリスティーナ・ビーク: あなたはキャリアの最初、ITセキュリティのトレーナーとして働き始め、その後デロイトに勤務されたと理解しています。こうした経験は、サイバーセキュリティのリーダーシップへの取り組み方にどのような影響を与えましたか。
チェザリー・ピエカルスキ: ええ、私はキャリアの歩みにおいてかなり恵まれていて、2つか3つの並行したキャリアを経験する機会に恵まれました。それが今の自分を職業人として形作ってくれたのだと思います。
最初はテクノロジー職としてエンジニアリングの仕事をしていました。正直に言えば、決して優秀なエンジニアではなかったのですが。その後、ビッグフォーのコンサルティングファームで働く機会を得ました。
今の時代、これが多くの人にとって標準的なキャリアパスではないことは承知していますが、実際にこの時期に多くを学びました。そして、日々の仕事の中で今でも非常に重要だと感じているスキルの一部を、この経験が築き、磨き上げる助けになったと思います。これはまた、実際のビジネスがどのように運営されているかを知る最初の経験にもなりました。というのも、ビッグフォーのコンサルティングファーム、あるいはどのコンサルティングファームで働くにせよ、自分自身の損益計算書を運営し、自分自身の小さなビジネスを経営することになるからです。これは、あらゆるビジネスの商業的な側面を理解する上で大きな洞察を与えてくれます。そしてそれは、どんな組織であれセキュリティの経営幹部を含む経営者であることの、非常に重要な要素になります。その後、私は銀行業界に移りました。今も非常に忙しく、非常にわくわくする日々を送っています。そして、今ここにいるというわけです。
DR クリスティーナ・ビーク: スタンダードチャータードでは、グループCISOに至るまでにいくつかの昇進を重ねてこられました。私の理解では、あなたは自らのチームを一から築き上げたとのことです。そのチーム構築に伴う課題や、チームの一員として人材に何を求めていたか、そしてどのような資質が際立って見えたかについて興味があります。どのように取り組まれたのでしょうか。
チェザリー・ピエカルスキ: 先ほど、自分は非常に幸運だと申し上げましたが、おそらく最も幸運だったのは、今一緒に働かせてもらっているこのチームだと思います。そして、顧客を守り、私たちが属する業界に貢献し、事業を展開する市場のコミュニティに貢献するという点で、組織として今どこに立っているか——それはすべて、本当に見事な仕事をしているこのチームの産物だと思います。サイバーセキュリティ、あるいはより広くセキュリティの分野で働くとき、決定的に重要なのは、私たちが共有しているミッションだと思います。私たちが日々の仕事で何をしているのか、なぜ時に眠れぬ夜を過ごすのか、なぜ時にこれほど情熱を注ぎ、興奮を覚えるのか、それをよくよく考えてみると、すべてはこのミッションに立ち返ります。それは私たちが活動する社会にとって、そして私たちの顧客にとって、非常に重要なものです。
そして最終的には、日々銀行と顧客を守っている同僚たちにとっても、非常に重要なものです。優れたチームを築くことを考えるとき、それはこの共有されたミッションから始まります。
それはまた、知識を共有しようとする強い意欲からも始まると思います。私たちが事業を展開する市場全体で築いてきた、最も成功したチームのいくつかを振り返ってみました。そのすべてに共通しているのは、強く共有されたミッション意識ですが、同時にそのすべてに、互いに切磋琢磨し、知識を共有する文化があります。それは共通の競技会やキャプチャー・ザ・フラッグ形式のコンテストを通じてであったり、ブラウンバッグセッションを通じてであったり、あるいは単に集まって各チームが取り組んでいる面白い成果を共有し合うことを通じてであったりします。この知識共有という要素、そして互いの挑戦やアイデアに対して開かれた姿勢でいることは、セキュリティの分野において極めて重要だと思います。そしてそれは、私たちが成功するチームを築く上で非常に重要な要素です。
DR クリスティーナ・ビーク: スタンダードチャータードでの役割についてですが、あなたは長いキャリアを歩んでこられて、以前は実務的なオペレーションにより重きを置いていて、その後戦略的なリーダーシップへと移行されました。現在このトップリーダーの立場に立って、その移行にどのような違いがありましたか。CISOという役職についてどうお考えですか。実は過去に他のCISOの方々から、CISOはどの企業においても2番目に厳しい役職だと表現されるのを聞いたことがあります。あなたもそれに同意されますか。
チェザリー・ピエカルスキ: どの組織においても、それは難しい役職だと思います。というのも、CISOが何をすべきかを考えるとき、彼らは少なくとも3つのスキルセットを併せ持つ必要があり、それらを組み合わせること自体が非常に難しいからです。そのうち2つを一人の人間の中で組み合わせるだけでも至難の業です。まず、彼らはビジネスの経営者でなければなりません。自分たちが属するビジネスを理解する必要があります。そして、ビジネスモデルやビジネス上のトレードオフ、意思決定、そこにある機会について、他のビジネスリーダーと非常に大人びた、教養ある本質的な議論を交わせなければなりません。また、優れたテクノロジー、少なくとも凡庸ではないテクノロジーの知見を持つ必要があります。なぜなら、テクノロジー戦略の方向性に影響を与えなければならないからです。CISOはまさにその点で評価されるからです。それが、彼らが業務において効果的であるための道だと思います。そして、それこそが組織のセキュリティ上の目標や義務を満たしながら、組織が成功を収める後押しをする道だと思います。
そして3つ目に、彼らは組織が正しいリスク文化を築く手助けをする、文化の担い手であり、影響力者でなければなりません。それはサイバーセキュリティリスクに関して、そのメリットを示し、正しい行動を体現し、組織の方向性やそうした文化面での取り組みに影響を与えることを意味します。そして彼らは、優れたコミュニケーターでなければなりません。自分のチームを築くことにも非常に長けている必要があります。ですから、これは非常に難しく、同時に極めてエキサイティングな仕事です。正直に言えば、私自身も今なおこうした資質の多くを学んでいる最中です。しかし、これは間違いなく、全力で打ち込む必要がある仕事の一つです。ただ、そうやって全力で取り組めば、根源的なプロフェッショナルとしてのレベルで、非常にやりがいのあるものになります。
DR クリスティーナ・ビーク: CISOの方々と話していて常に思い浮かぶのは、もともとエンジニアだったり、IT部門にいたりした人が、やがて昇進を重ねてきたということです。そして今、非常にビジネス志向の強いCISOという役職に就いている。他の経営幹部やステークホルダーと、サイバーセキュリティやセキュリティ上の課題についてコミュニケーションを取るのはどのような感じですか。セキュリティをそれほど重視しておらず、それが念頭にない経営幹部に対して、セキュリティの現場で経験している現実を伝えようとする際に、何らかの摩擦はありますか。
チェザリー・ピエカルスキ: それを摩擦というふうには捉えていません。私たちが下す意思決定や、それがもたらすリスク、それがもたらす機会、そして私たちがどこまでのトレードオフを受け入れる、あるいは受け入れないかについて、大人同士の対話をすること——先ほど申し上げた通り、それはCISOという役職の重要な一部です。ですから、これは身につけるべきスキルだと思いますし、自分が属するビジネスへの深い理解に根差している必要があるスキルだと思います。
ただ、CISOを一種の社内インフルエンサーとして捉えるという先ほどの論点に戻りたいと思います。CISOという役職の現在の姿と、その未来の姿をよくよく考えてみると、見えてくるのは、CISOは自分たちの提供するサービスや製品だけに閉じ込められてはならないということです。ある意味で、CISOは「セキュリティのCIO」であってはならないのです。単に脆弱性管理を運用する、あるいは単にID管理プラットフォームを運用する、あれをする、これをする、というだけではいけません。なぜなら、そこにこそCISOが陥りがちな罠があるからです。組織全体のセキュリティ態勢を全体として面倒見るのではなく、単に機能を提供するだけの存在になってしまう罠です。後者を実践するには、ビジネスに関する対話をする必要があります。ビジネスの方向性、選択肢、意思決定、トレードオフ、ジレンマを理解する必要があります。そして、インパクトやリスクを、対話相手にとって理解しやすい形で説明できる必要があります。つまり、ビジネスへの影響、事業を営む上でのライセンスへの影響、特定のビジネスが成功するために必要な規模で資本を投入する能力への影響を理解する必要があるということです。言い換えれば、私はこれを摩擦だとは思いません。私たちが下す意思決定について、部屋の中にいる大人の声を発しているだけだと思っています。
DR クリスティーナ・ビーク: ええ、まさにその通りですね。サイバーセキュリティには数多くのサイロ、あるいは業種の垣根があります。製造業もあれば、ヘルスケアもあり、そして金融もあります。他にも数多くの業種がありますが、金融は私にとって、ある意味で最も恐ろしい分野かもしれません。というのも、私の頭の中では、そこには莫大なお金があり、それを狙う脅威アクターが常にいるというイメージがあるからです。あなたのような大手銀行のCISOであることの現実について教えていただけますか。最も懸念していることは何ですか。脅威アクターや悪意ある攻撃者に関して、夜も眠れなくなるようなことは何ですか。
チェザリー・ピエカルスキ: CISOであれば、あまり眠れないのは事実です。しかし、日々心配していることはたくさんあります。ある意味では、心配することに対して報酬をもらっているようなものです。ただ、コツは、その心配を生産的なものにすることだと思います。押し寄せてくる脅威に対して、生産的で、建設的で、焦点の定まった、そして構造化された形で影響を与え、積極的に緩和していくのです。
私の仕事の多くは、実は自分のチームや周囲の人々が、何が雑音で何がシグナルなのかを見極める手助けをすることだと言えます。というのも、この世界は脅威で完全に飽和していて、「私たちは皆終わりだ」というようなメッセージが溢れており、それが人々の生産的な対応や、実際に取れる行動、結果に影響を与える行動を妨げてしまうからです。ですから、私が日々心配していることはたくさんありますが、それが他者や組織をより良くする助けになるような形で心配するよう努めています。
ここで、先ほどお話ししたメッセージに戻りたいと思います。それは、眠れぬ夜とどう向き合うかを、ある程度説明してくれるものだからです。それは、この強いミッション意識です。ある意味で、私たちサイバーセキュリティに携わる者は皆、非常に一般的な意味において、恵まれていると感じられるはずです。というのも、私たちの仕事は、社会に対して何か良いことをすることに直結しているからです。もしあなたがミッションによって突き動かされるタイプの人間であれば、職業人生がどんな困難を投げかけてこようとも、それに対処するのは容易になります。
いずれにせよ、金融業界は特に恐ろしい業界なのでしょうか。はい、自分の肩に説明責任がのしかかっているのを感じますし、その説明責任を担うことに対して、建設的な意味で居心地の悪さを感じ続ける必要があります。それがミッションの一部であり、正しいことをする原動力になるからです。しかし同時に、ある意味で金融業界はやりやすい面もあります。というのも、パートナーとなる規制当局がいるからです。非常に成熟した業界でもあるので、学ぶべき先人たちがいます。そして金融業界全体の誰もが、その重要性を痛感しています。つまり、何かに影響を与えようとするとき、組織内からの抵抗があまりないということです。
繰り返しになりますが、私は自分を幸運だと言い続けています。それはこの組織がセキュリティリスクを非常に意識しているからです。そのため、この意味において、私には組織全体に、正しいことをするためのパートナーが数多くいます。そして、ヘルスケアのような業界では、CISOたちはミッションの重要性という点で同じように奮闘していると思いますが、業界そのものが意識や投資意欲の面でそれほど成熟していないために、やや上り坂の議論を強いられることがあるかもしれません。ですから、これは一種の二面性を持つ状況だと思います。莫大な説明責任がある一方で、非常に成熟した、非常に先進的な業界でもあるのです。そして、この脅威が他の業界にも同じ段階で及んでいることは認識していますが、やや不利な状況の中でそうなっているとも感じています。
DR クリスティーナ・ビーク: ええ、まさにその通りですね。チームと協力して、何が雑音で何がシグナルかを見極めるというお話に戻りたいと思います。というのも、これまでにも何度もそうした話を耳にしてきたからです。しばしば、AIやLLMの導入との関連で、そうした話を耳にします。そこで次の質問なのですが、現在、あなたの組織ではAIがどのように導入されていますか。今後、組織にとってAIがどのような役割を果たしていくとお考えですか。
チェザリー・ピエカルスキ: 私たちは、大きな技術的転換点の只中を生きていると思います。その意味で、今は非常にエキサイティングな時期です。同時に、CISOやより広くテクノロジー担当の経営幹部の役割が、雑音をシグナルへと翻訳し、説明し、組織が未来への道筋を描く手助けをする上で、これまで以上に重要になっている時期でもあります。私たちがAIを見る視点は、自分たち自身の能力というレンズを通してです。それは、私たちが取り入れ続けているビジネス上の能力であれ、私たちが築き続けている防御上の能力であれ同じです。私たちはこれを、スキルの変化というレンズを通しても見ています。それには、同僚たちが新しいスキルを学び、2年前にはまだ存在していなかった新しい能力——ハーネス・エンジニアリングをはじめ、業界にとって大きな未知数だったその他の能力——を築く手助けをすることも含まれます。
しかし私たちはまた、これを敵対的な活動というレンズを通しても見ていますし、私たち自身のAIソリューションのセキュリティへの影響だけでなく、より広くサードパーティ、フォースパーティ、そして私たちが属するより広いエコシステム全体のセキュリティへの影響というレンズを通しても見ています。ですから、今は関わっていて非常に興味深い時期であり、私自身やチームの思考の多くが、そして私たちの取り組みや投資の多くが、この技術と脅威の様相を根本から変えつつある、まさにこの動きに注がれています。
DR クリスティーナ・ビーク: AIによって非常にエキサイティングな時期だとおっしゃっていますね。一方で、少し警戒している人たちもいると思います。「AIの台頭が進む中で、自分はサイバーセキュリティの仕事を続けられるのだろうか」「自分の居場所はあるのだろうか」と考えている人たちです。そうした人たちに対して、どのようなことを伝えたいですか。
チェザリー・ピエカルスキ: AIがこの意味で特別に異質なものだとは思いません。実際にサイバーセキュリティ、あるいはサイバーセキュリティ関連の仕事への影響を見てみると、私たちの同僚の中でも、すでに一部の職務の姿が変化し始めているのが分かります。
サイバーセキュリティの精神、そして……私自身の話に戻りますが、ソフトウェアやハードウェアをいじり回すこと、それに何冊かの本の助けを借りたことが、どのようにして私をこの世界に引き込み、セキュリティの世界へと導いてくれたかをお話ししました。しかし信じてください、これは私たち全員に共通する物語なのです。私たちを突き動かしているのは、この好奇心です。新しいテクノロジーと、今起きている変化は、この好奇心をさらに刺激し、人々が新しいスキルを学び、それを長期にわたって育んでいく助けになると思います。
これによってサイバーセキュリティ専門職の求人数が大きく減るとは思いません。むしろ、今データを通して見ると、かなり逆張りの見方が見えてきます。セキュリティ専門職の求人数は減るどころか、増加しているのです。ただし、その仕事の姿は根本的に変化しています。そしてこの傾向は今後も続くでしょう。学ぶべき新しいスキル、習得すべき新しいテクノロジー、解決すべき新しい問題、対処すべき新しい脅威が出てくるでしょう。それこそが、この仕事をエキサイティングなものにしているのです。
DR クリスティーナ・ビーク: これが最後の質問です。どう解釈していただいても構いません。サイバーセキュリティの未来は、あなたにはどのように見えていますか。
チェザリー・ピエカルスキ: 非常に幅広い質問ですね。サイバーセキュリティの未来は、非常に統合され、非常にインテリジェンス主導型になり、そして非常に自動化されると思います。数年後、私たちがどのように業務を運営しているかを考えると、組織を守るために、大部分をキュレーションするロボット群からなる一連のプロセスが存在するようになるでしょう。そしてこれに伴って、この役割は、それ以外の何よりも、信頼を築く者、そしてそうしたロボットたちのキュレーターへと進化していくことになります。より抽象的な問題、より高度なエンジニアリング、より高い速度、そして何よりも、一度で正しく成し遂げる必要性がはるかに高まっていくのです。
DR クリスティーナ・ビーク: とてもわくわくしますね。楽しみにしています。本日はお時間を割いてお話しいただき、本当にありがとうございました。心から感謝しています。そして、これをご覧になる多くの方々にとって、非常に有益な内容になることと思います。
チェザリー・ピエカルスキ: お招きいただきありがとうございました、クリスティーナさん。お会いできて光栄でした。
