「私はサイバーセキュリティのキャリアを選んだわけではありません。キャリアの方が私を選んだのだと思います」。さて、どうでしょうか……。
ニコ・ワイズマン氏はアルゼンチンで生まれ、今もアルゼンチンで暮らしています。本人の話が正確であれば、彼が生まれたのは1982年ということになります。アルゼンチンで7年間続いた軍事独裁政権が終結する1年前です。
1980年代のアルゼンチンの若者たちは、独裁政権終焉後もくすぶり続ける、法や体制への反抗心にあふれた時代を生きていました。ワイズマン氏の場合、その若者らしい反骨精神は新興テクノロジーへと向かいました。彼はテクノロジーを自分の思い通りに動かすように改変できるという発想に魅了されました。要するに、彼は若きハッカーになったのです。ただし彼を突き動かしていたのは、金儲けや害を及ぼす欲求ではなく、挑戦そのものへの楽しみでした。
彼はコンピューター技術についてもサイバーセキュリティについても、正規の訓練を受けたことはありません。当時のアルゼンチンには、そのどちらも存在していなかったのです。コード、バグ、脆弱性の発見と悪用について学んだことはすべて独学でした。
「何にもドキュメントというものが存在しませんでした。それこそが魅力であり挑戦の一部だったのです」と彼は説明します。「だから、大量の試行錯誤とリバースエンジニアリングを重ねて、物事の仕組みや、それをどう覆せるかを学びました。これこそが本当に、本当に好きだったことで、今も変わらず楽しんでいます。一つの問題に何日も向き合い、その仕組みを理解し、それからどうすれば壊せるかを探ってみる、というものです」
これが攻撃的セキュリティのキャリアの原点でした。しかし繰り返しになりますが、当時のアルゼンチンには攻撃的セキュリティのキャリアというもの自体が存在していませんでした。そこで彼はまずエンジニアリングの道を考えましたが、工学部を2度中退しています。次に「コミュニケーション」を志し、4年間ジャーナリズムを学びました。しかしこれも修了せず、学位は取得しませんでした。論文も書きませんでした。その間ずっと他の選択肢を模索し、例えば新たなコミュニケーションスキルなどを身につけていましたが、彼の一番の情熱は依然としてハッキングにありました。
「やがて」と彼は語ります。「アルゼンチンでさえも、未来がやってきて、サイバーセキュリティの職に就くことができました」。2003年、彼はImmunityにシニアセキュリティリサーチャーとして入社します。正規のサイバーセキュリティの資格はなかったものの、実践的な経験と、自らの知識を証明する能力を持っていました。これが彼のプロフェッショナルとしてのキャリアの始まりであり、その4分の3は攻撃的セキュリティに費やされることになります。その土台となったのは、独学で身につけた初期のハッキング手法の知識でした。
彼は2019年までImmunityに在籍し、着実に昇進を重ねてラテンアメリカ地域担当バイスプレジデントにまで上り詰めました。「私たちは、人々が自ら侵入テストを実施できるよう支援する製品[CANVAS。エクスプロイトフレームワークで、初期のペネトレーションテスターやレッドチームの発展のあり方を大きく形作った製品です]を開発していました。公共機関と民間企業の両方と仕事をし、脆弱性の発見方法とその悪用方法を見つける支援をしていました。最初はLinux、その後Windowsを対象にしていました」
この17年間、彼は初期のハッキング経験から得た個人的な専門知識を活かし、身につけたコミュニケーションスキルを発揮し(Black Hat、Syscan、PacSec、RuxCon、Ekopartyなどのカンファレンスで講演を行いました)、新たなリーダーシップスキルを習得していきました。
ワイズマン氏はヴィンス・ロンバルディの「リーダーは生まれつきではなく、作られるものだ」という見解に同意しています。しかしそのプロセスは、計画的というよりほとんど偶然の産物である場合もあります。「もともと私は少し内向的な性格でした。コンピューターに惹かれたのは、それが安全な居場所のようなものだったからです」。若い頃にハッキングを学ぶ中で、彼は(オンライン上で)同じように研究とハッキングに取り組む多くの仲間と出会いました。
キャリアが進むにつれ、さまざまなプロジェクトで他者と協働する必要が出てきましたが、彼は常に、自分がよく知り、気心が知れ、理解し合える相手と働くことを好みました。新しいプロジェクトでは、共に働く人材を雇う必要がありました。「そこで」と当時彼は考えました。「自分が知っていて、一緒に働きたいと思う、そして互いに協力し合えると分かっている素晴らしいハッカーやリサーチャーを雇おう」。実際にそうしたのです。しかし、たとえ対等な仲間同士のチームを作るつもりであっても、チームを作った本人が自然とリーダーになっていくものです。ワイズマン氏にとって、リーダーになることは、自分がやってきたことの自然な延長にすぎませんでした。生来の性質でも、計画されたキャリアの進展でもなかったのです。
「やがて、人生と年齢が少しずつマネジメントの立場へと押し出してくれます。そして『はい』と答えた瞬間、もう後戻りはできません」と彼は説明します。「成長するにつれ、チームを率いるようになりました。最初は製品開発に携わり、その後サービス部門を担当しました。ある時点では30人から40人のペネトレーションテスターが私の下で働いていました。フォーチュン500企業を顧客とし、アプリケーションセキュリティテストや侵入テストなどの実施を支援していました」
Immunityで17年間過ごした後、彼は同社を離れ、2019年6月にラテンアメリカ地域担当リサーチディレクターとしてSemmleに入社しました。Semmleは2006年にOege de Moor氏によって設立された企業です。ワイズマン氏の入社から数か月のうちに、SemmleはGitHubに買収されます。そして2019年末までに、ワイズマン氏はGitHub Security Labのシニアディレクターに就任していました。
これにより、ワイズマン氏の攻撃的セキュリティへの関心と専門性はさらなる進化を遂げました。オープンソースソフトウェアです。GitHubはすでに開発者たちの本拠地であり、ソフトウェアサプライチェーンの保護にますます力を入れていました。そのため、オープンソースソフトウェアと、それがCI/CDパイプラインにもたらす危険性への新たな注力が求められていました。GitHub在籍中、ワイズマン氏は新たな職場がSemmleのCodeQLを採用・統合する取り組みを支援しました。
「GitHub Security Labは、オープンソースソフトウェアの改善に注力するグループでした。GitHubはすでに事実上の開発者の本拠地でしたが、オープンソース開発者への新たな注力を推し進めたいと考えていました。Microsoft、Googleをはじめとする大手企業も、それぞれ独自にオープンソースの保護に取り組んでいましたが、それは各社がバラバラに行う孤立した取り組みでした。そこで私たちは、OSSの保護に向けて企業同士が協力する連合体を作る取り組みを進めました。最終的に、その成果をLinux Foundationに引き継ぎ、現在はOpen Source Security Foundationとして正式に組み込まれています」
この時点で、ワイズマン氏のサイバーセキュリティの歩みは、少年ハッカーからプロの攻撃的セキュリティ研究者、そしてリーダー、オープンソースセキュリティの専門家へと発展していました。残る大きな一歩は、経営幹部への飛躍だけでした。それもそう長くはかかりませんでした。
「ある友人が、Lyftのセキュリティチーム再構築を手伝う機会を持ちかけてくれました。それまでの人生ずっと攻撃的セキュリティに専念してきて、攻撃的セキュリティでできることはほぼすべてやり尽くしていました。今度は防御側に立つとはどういうことかを探ってみたいと思ったのです」
彼はGitHubを離れ、2020年にLyftのセキュリティ・プライバシー責任者に就任し、2年以内に同社のCISOとなりました。
「Lyftは防御的セキュリティへの素晴らしい入門となりました。毎日何千件もの配車を支えるインフラを抱えており、私にとって実に興味深い新たな課題を突きつけてきました。エンジニアのスピードを妨げずに、それに見合う速さで動けるセキュリティプログラムをどう構築するか、というものです」
必然的に、彼が防御的セキュリティで最初に学んだ教訓のひとつは、防御とイネーブルメント(業務の後押し)を組み合わせる必要性でした。これはサッカーに似ています。フォワードが前進できるようにするには堅固なディフェンスが必要ですが、機会があるたびにボールをスタジアムの外に蹴り出してしまうようなディフェンスであってはならないのです。
彼はこの職を3年間務めました。そんな中、Oege de Moor氏が新会社の構想を持って彼に声をかけてきました。両者にはすでに長い付き合いがありました。de Moor氏はSemmleの創業者であり、GitHubにも在籍していた人物です。GitHubがMicrosoftに買収された後、de Moor氏はMicrosoftのCopilot AIを構築するチームを率いていました。
「私たちはAIと攻撃的セキュリティを組み合わせるというアイデアについて議論を始めました。これはまさに私の専門分野です」とワイズマン氏は説明します。「そうしてXBOWという会社を立ち上げ、2年間事業を続けてきました。これは、人間のスキルを模倣しながら侵入テストを実施できる、しかもそれを大規模に行える、初のAI自律型製品でした」
ワイズマン氏は当初からXBOWのCISOを務めており、それが現在の彼の姿であり立ち位置です。彼のプロフェッショナルとしてのキャリアは一巡し、攻撃的セキュリティに始まり、リーダーシップ、防御的セキュリティ、人工知能という新たなスキルを身につけ、そのすべてを結集させて、AI自律型攻撃的セキュリティを手がける企業のCISOという立場に至ったのです。
この歩みのどこを見ても、学ぶことへの意欲と能力、気心の知れた相手と働くことへの志向、そして偶然がもたらす挑戦を受け入れる意志以外に、体系立てられたキャリアプランの痕跡は見当たりません。この経歴は、彼の最初の言葉を裏付けています。「私はサイバーセキュリティのキャリアを選んだわけではありません。キャリアの方が私を選んだのだと思います」
とはいえ、彼の歩みが常に順風満帆だったわけではありません。CISOという立場は、彼をバーンアウト(燃え尽き症候群)の間近まで追い込みました。バーンアウトはWHO(世界保健機関)によって職業上のリスクとして認定されており、長期にわたり管理されないストレスによって引き起こされる、深刻な身体的・精神的・感情的疲弊の状態と説明されています。CISOとそのセキュリティチームは、ますますこのリスクにさらされています。
「Lyft在籍中に完全に燃え尽きていたとまでは言いませんが、どのCISOにとっても莫大なストレスがのしかかります。他者の行動に責任を負うという、不可能とも言える立場に置かれるのです。セキュリティとイネーブルメントのバランスを取らなければならず、これが本当に複雑です。常にリソース不足に陥っています。こうしたことすべてに対処する方法はあるものの、それでも確実に負担は蓄積していきます。そして何か問題が起きれば、責任を負うのは自分自身なのです」
同様のプレッシャーはセキュリティチームの一人ひとりのメンバーにも及びます。そのためCISOには、チームメンバーを自身のバーンアウトから守るという、さらなる重圧がのしかかります。「リーダーシップの役割の一つは、チームを過度なプレッシャーから守ることです」と彼は語ります。「CISOは業務上のプレッシャーをできる限り自分自身で吸収し、個々のチームメンバーに伝わる分量を抑えるフィルターとなるべきです」
彼はまた、チームにとって健全なワークライフバランスを推進しています。「私は非常に共感力が高いと思っています。それが自分の強みの一つです。人がストレスを抱えている状態を察知できると思っていて、そういう時こそ自分が介入し、正しいバランスを取り戻す手助けをするタイミングなのです」
固定的なキャリアプランを持たなかった人物らしく、受けたキャリアアドバイスについての記憶はほとんどありません。ただし、Immunityの創業者であるDave Aitel氏から学んだ一つのことは覚えています。「セキュリティの世界には、本当に重要なことと、単なる見せかけにすぎないことがあります」と彼は説明します。「本当に重要なことに集中しなさい、ということです」。それは具体的な助言というよりも、師事する中で学び取ったものでした。
キャリアアドバイスを受けた記憶がほとんどないのと同様に、彼自身も自分のチームに具体的な助言をわざわざ与えることはしません。「私の役割は、将来何をすべきかを指示することよりも、絶えずメンタリングを提供することだと考えています。私は教える際にソクラテス式のアプローチを取ります。答えを与えるのではなく、質問を投げかけることで、本人が自ら答えを見つけられるようにするのです」。ソクラテスはこの手法を助産術(マイユーティケー)と呼びました。助産師が(新しい命を)自ら生み出すのではなく、(新しい命の)誕生を助けるのと同じです。
ワイズマン氏が漂わせる落ち着いた雰囲気にもかかわらず、誰にでも最も気がかりなことが一つはあるものです。彼の場合、それはAIです(彼の会社がAIベースの自律型攻撃的セキュリティプラットフォームを運営していることを思えば、いかにも彼らしい答えです)。
「防御側に予算があるように、攻撃側にも予算があります」と彼は説明します。「今のところ、すでに大規模に実行可能なことをAIで行うにはコストがかかりすぎます。しかしそのコストは下がっていくでしょう。かなり早いうちに、攻撃者が自律的に適応するマルウェアを大規模にIPアドレスへ仕掛けることで、プラスのROI(投資対効果)が得られる時点に到達するはずです。そして私たちは、まだそれに備えられていません」
AIは絶えず進化しており、攻撃者・防御者の双方がこれを活用しています。ほぼ常に、攻撃者は防御者よりも早く新しいテクノロジーを取り入れます。やがて防御者も追いつき、バランスが再び保たれるようになるでしょう。それが実現するまでの間、ワイズマン氏はこう示唆します。「しばらくは、外の世界にちょっとした混乱が生じることになるでしょう」
