クリス・ウィーラー氏はResilienceのCISOです。同氏はサイバーセキュリティ分野で長いキャリアを積んできました。Efflux Systemsで脅威リサーチャー・アナリストを務めた後、Arbor Networksで脅威アナリティクス・マネージャーを歴任。その後Resilienceに脅威インテリジェンス・リードとして入社しましたが、2020年に退職し、Morgan StanleyでVP兼SOARリードに就任しました。4年後にResilienceに復帰し、まずは情報セキュリティ担当VPとして、その後CISOとして活躍しています。
同氏がセキュリティの血を受け継いでいると言っても差し支えないでしょう。父親は大学のITアドミニストレーターでした。「父はいつも様々なシステムをいじっていて、私も同じような好奇心と情報技術への関心を受け継ぎました」
サイバーセキュリティとリーダーへの道
海軍での訓練
ウィーラー氏がITのセキュリティ面に注目するようになったのは、2010年に米海軍に入隊してからのことです。同氏は6年間在籍し、海軍兵学校を実質的な「学部レベルの教育機関」と表現しています。その期間は、駆逐艦での従来型の航海任務が3年間、そしてサイバー作戦(当時海軍が「情報戦」と呼んでいたもの)が3年間という内訳でした。
同氏が特に惹かれたのが、ある情報戦演習でした。海軍にはNSAのレッドチームを1週間ネットワークから締め出し続けるという課題が課されており、その結果はネットワークの稼働率、レッドチームの検知・排除状況、そしてデジタルフォレンジックによって採点されました。
しかし海軍が同氏に与えたのは、サイバーへの関心だけではありませんでした。リーダーとしてのあり方も教え込まれたのです。軍隊には非常に重要な古い格言があります。「昇進か、さもなくば去るか」というものです。
「結局のところ」と同氏は説明します。「それが辿る道なのです。上級下士官であれ、中堅下士官であれ、士官であれ、最終的には人のチームを率いることになります。私は学校を出てすぐに、艦上で15人の水兵からなる部隊を率いていました」。同時に、軍隊は使命感と目的意識という圧倒的な感覚も植え付けます。
同氏が後に理解するようになったのは、使命と目的という概念がいかに個人のアイデンティティの土台となっているかということでした。海軍での経験こそが、同氏が今のようなサイバーセキュリティリーダーになるための基礎を築いたのです。
ビジネスの世界
しかしビジネスは軍隊とは異なるものであり、同氏は海軍で学んだことを新たな優先事項に合わせて適応させる必要に迫られました。すぐに明らかになったことが3つありました。テクノロジーが猛烈な速度で進化していること、ネットワークがますます複雑化していること、そしてセキュリティリーダーの役割にはビジネス分析のスキルも求められることです。
一人の人間が、IT、サイバーセキュリティ、ビジネスプロセスのすべてにおいて社内一の専門家になることは不可能です。そこで同氏はリーダーシップに対する考え方を洗練させていきました。
「リーダーは仕事全体を理解し、遂行できなければなりません。しかしそれ以上に重要なのは、他者にどのように、どこで専門性を発揮すべきかを教えられることです。現代のセキュリティリーダーとは、チームを構築できる人物であり、いつ自ら手を動かすべきか、そしていつ、どこでチームメンバーを指導・育成すべきかを見極められる人物のことです」と同氏は説明します。
ここでもまた、これを実現する個人的な能力とチームリーダーシップのスキルを与えてくれたのは、海軍での訓練でした。
信頼の重要性
ウィーラー氏は、信頼を醸成する能力こそが、CISOが持ちうる中で最も重要な資質だと考えています。
信頼は双方向のものです。CISOは信頼をあまねく浸透させなければなりません。そうでなければ、ビジネスリーダーはビジネスの最大化とサイバーセキュリティのどちらを優先すべきかという戦略的助言を受け入れないでしょう。同時に、CISOはビジネス上の同僚やビジネスそのものを信頼していなければなりません。
そしておそらく最も重要なのは、CISOが自ら採用したセキュリティチームのメンバーを信頼できるかどうかです。「CISOがすべてを知ることは不可能である以上、CISOは正しい質問と、それを尋ねるべき正しい人物を知っておく必要があります」
その人物は社内の誰であってもおかしくありませんが、統計的に見ればセキュリティチームのメンバーである可能性が高いでしょう。CISOはチームを信頼する必要がありますが、同時にチームもまた、CISOが常に自分たちの味方でいてくれると信頼する必要があります。この双方向の信頼という要件は、採用やチーム構築のプロセスに一層の責任を課すことになりますが、新しいテクノロジーによってその可能性は変わりつつあります。
技術的な専門性は、もはやスタッフ採用のすべてではなくなりました。「生成AIの時代において、自動化を使いこなす能力は民主化されました」とウィーラー氏は説明します。もはやプログラミングをするために訓練を受けたプログラマーである必要がないのと同様に、セキュリティ運用を行うために資格を持ったセキュリティエンジニアである必要もなくなったのです。
「ですから、求めるべきは未来志向で、AIを自分の業務に取り入れられる人材です」。これによりCISOは、個々人の資格だけでなく、チーム全体という概念に焦点を当てられるようになります。感情知性や対人スキルは、互いへの信頼とリーダーへの信頼に根ざした結束力のあるチームを構築する上で、重要な要素となります。
道のり
どんな道のりも、道しるべがあれば助けになるものです。道しるべは旅人が迷わないようにしてくれますし、できるだけスムーズかつ迅速に目的地へたどり着く手助けをしてくれます。
キャリアの旅において、道しるべとなるのは通常メンターであり、その道筋となるのが助言です。ほとんどのCISOは、その道のりで良い助言を受けて恩恵を得てきました。ウィーラー氏は自身が受けた最良の助言を「哲学的」なものと「実践的」なものに分けています。
「哲学的には」と同氏は説明します。「自分の専門分野の数学を知らなければ、専門家にはなれないという助言でした」。これはITの根底にある構造を理解するだけでなく、セキュリティに影響を与える原則を理解することにまで及びます。
「リスク定量化を学び、それを実践に応用することは、すべてのCISOが改善できる余地がある分野です」と同氏は続けます。「完璧である必要があるでしょうか?いいえ。しかし、確率を合理的に見積もり、不確実性を記述し、そしてますます重要になっているのは、それを財務的な言葉に落とし込む方法を知っておく必要があります」
これは、CISOがセキュリティの専門家であると同時に、企業にとってのビジネスアナリストである必要性が高まっていることにつながります。仕事の目的はすべてのセキュリティインシデントを防ぐこと(それは不可能でしょう)ではなく、ビジネスにとって重要なものへの攻撃を限定し、事業継続性を確実に維持することなのです。
理想を言えば、これはすべてのCISOが取締役会のメンバーであることによって最もよく達成されるでしょう。まだそこまでは至っていませんが、これは事実上、2026年7月7日に発表された英国政府のサイバーレジリエンス・プレッジ(Cyber Resilience Pledge)の核心部分でもあります。すでにこれが実現しているかどうかにかかわらず、「私たちが目にしてきたのは、取締役会への報告の回数と頻度の増加です」であり、「確率を合理的に見積もり、不確実性を記述し、そしてますますそれを財務的な言葉に落とし込む」必要性が高まっているのです。
実践面では、ウィーラー氏が受けた最良の助言は、自宅にラボを構築することでした。「今日では、それは単なるITハードウェアにとどまらず、様々な形を取り得ます」と同氏は続けます。「自分が守る責任を負っているテクノロジーやプロセスに対して好奇心を持ち、実際に試してみることの価値は、私の考えではいくら評価しても評価しすぎることはありません。そして、生成AIツールの登場により、ハードウェアにとどまらず、コンセプトを探求し、シミュレーションし、試してみることがますます可能になっています」
CISOは自らの旅においては教えを受ける側ですが、他者、特に自身のチームに対しては、それぞれが自分の旅を歩み始めるにあたってのメンターでもあります。ウィーラー氏は具体的な助言を与えるのではなく、旅を取り巻く風景を描写することを好みます。
「従来型のセキュリティには完璧主義的な傾向があります。私たちは無意識のうちに、それを従業員やビジネスパートナーとのやり取りに持ち込んでしまうことがあります。しかしリスク優先の考え方を持つCISOであれば誰でも、たとえ一国家並みの予算を持っていたとしても、完璧を維持し続けることはできないと分かっています。定量的あるいは財務的な裏付けのある指標ではなく、絶対値(完璧さ)を前提とした立場でリスクに関する意思決定を行うのは困難です」
これを乗り越えるために、と同氏は言います。「私は自分のチームに対して、共に働くすべての人々に共感を持ったパートナーであるよう、そして個人的にも仕事の上でもバランスを追求するよう促しています」
共感とバランスは重要です。「パートナーチームとの関係構築は、事業のレジリエンスにとって極めて重要です」と同氏は続けます。「それには傾聴と、時には妥協が求められますが、それによってパートナーは情報を共有し、問題を提起し、必要なときに行動する手助けをしてくれるようになります。個人的なバランスを保つことで、より良い人間関係を築き、CISOあるいはセキュリティ専門家としてリスクに基づいた意思決定を行えるようになります」
実際のところ、同氏がチームに与える具体的な助言は、仕事面よりもむしろ個人面に重点が置かれています。「休暇はきちんと取ること。家族のためにそばにいること。そして趣味に時間を使うこと。自分自身のバランスを把握し、燃え尽きないようにすること。仕事はそこにあり続けますし、複雑さを増していく一方なのですから」
荒れ模様の先行き
ウィーラー氏はエージェント型AIの台頭に懸念を抱いていますが、それは必ずしも悪意ある行為者に対してだけではありません。「私が懸念しているのは、エージェント型AIの導入に安全かつレジリエントに歩調を合わせ続けることです」と同氏は説明します。「導入という面では、取締役会や投資家からのトップダウンの需要と、開発者やパワーユーザーからのボトムアップの需要がともに高まっています」
同氏のチームは、これまでに述べてきた原則の多くを取り入れた安全な導入推進の取り組みに携わっています。従業員の声に耳を傾けること、信頼を築くこと、自ら率先して採用・実験すること、そしてリスクに基づいたガードレールを設定することなどです。
「確かにいくつかの新しい種類の統制はありますが、そのほぼすべてはゼロトラストアーキテクチャに根ざしています」と同氏は続けます。「そのため、私たちはIAM、データの棚卸しと分類、そして全般的な自動化への投資を特に強化しています」
ウィーラー氏のセキュリティに対するアプローチが、テクノロジーの枠を超えたものであることは明らかです。成功するセキュリティは、この専門分野の「数学」を理解することに根ざしています。その数学とは、テクノロジー+セキュリティの原則+ビジネスの手腕+人への共感=成功するサイバーセキュリティ、というものなのです。
