セキュリティ担当者からセキュリティリーダーへとステップアップする方法

サイバーセキュリティ専門家としてのキャリアには、技術のエキスパートであるだけでは不十分になる時期が訪れます。次のステップはマネジメント職やCスイートへの道につながりますが、そこで求められるのはまったく別の種類の専門性です。

技術的なスキルは新任CISOにとってもこれからも役立ちますが、この役職ではその土台の上にさらなる能力が求められます。それは、限られた予算の中で投資の優先順位を決めることであったり、製品発表の裏にあるセキュリティ上のトレードオフをビジネスリーダーが判断する手助けをすることであったりします。

「最も優秀なCSOやCISOとは、技術的リスクをビジネス上の優先事項に自信を持って翻訳できる人たちです」と、ExtraHopのCISOであるChad LeMaire氏は語ります。この能力がなければ、技術的な深い知識はむしろ「キャリアの天井」になりかねず、競争上の強みにはならないといいます。「部屋の中で最も技術に精通した人物であることだけをアピールしていては、CISOとしてのキャリアの足かせになりかねません」とLeMaire氏は付け加えます。

CISOの求人情報を分析した調査によると、雇用主はSTEM分野やビジネス分野の学歴、特定ベンダーに依存しない資格を重視する一方で、優れたコミュニケーション能力や規制フレームワークに関する知識も求めていることが分かりました。対照的に、特定のセキュリティプラットフォームへの精通度、コーディング能力、セキュリティクリアランスについては、求人情報でほとんど重視されていませんでした。

この調査ではCISOの責務や求められる要件についても取り上げています。これらを総合すると、CISOに求められる姿は日々の技術的業務をこなす人材ではなく、ビジネス戦略家であり組織のリーダーとしての姿だと分かります。

CISOは信頼を築き、明確にコミュニケーションを取り、「IT担当者」というポジションに陥ることなく協働する必要がある、とBlueVoyantのCISOであるJohn Harbaugh氏は述べています。

「私自身のキャリアでは、次のようなことを実践して大きな成果を上げてきました。ストレスがかかる状況でもポジティブな姿勢を保つこと、関わる相手には善意があると仮定すること、そして解決策について協働しようとする際には特に、常に誠実な態度を取ることです」と同氏は語ります。「陳腐に聞こえるかもしれませんが、非常に多様なビジネスやミッションに携わってきた私のキャリアの中で、これらは極めて効果的だと実感しています」。

その他の有効なスキルとしては、場の空気を読む力、オープンマインドを保つこと、そして良きメンターを見つけることが挙げられます。これらはいずれも、CISOを目指す人が不確実性を乗り越え、信頼を築く助けとなります。

その場にふさわしい人物として振る舞う

CISOを目指す人は、ビジネス目標の障害としてではなく、それを後押しするリーダーとしてその場に臨む必要があります。「どんな場でも、自分はそこにいるにふさわしい人間だという姿勢で臨んでください」とLeMaire氏は言います。「耳を傾ける会話が増えるほど、セキュリティ目標を全体的なビジネス目標に沿わせ、さらに法務、事業開発、従業員エンゲージメントなど他部門とも整合させやすくなります」。

そうした幅広い知見はまた、将来のCISOが課題を自分事として捉え、技術的な背景を活かして解決策を考案する助けにもなります。そのうえで、その解決策を明確に説明し、周囲に受け入れてもらう必要があります。

「プロフェッショナルに見え、そして何より、プロフェッショナルに振る舞い、プロフェッショナルに話す人物が求められます」と、CruiseConのCEO兼プログラムディレクターであるIra Winkler氏は語ります。「人は自信を持って自分を示す必要があります。簡潔に話すことも大切です」。

とはいえ、プロフェッショナルに見えることは重要である一方、それをやりすぎると逆効果になることもあります。「私がNSAで交代勤務をしていた頃、あるエントリーレベルのアナリストがいつもスーツを着て出勤していました」とWinkler氏は振り返ります。「彼は自分がなりたい役職に合わせた服装をしていたのです」。しかし、たいていの管理職はそれを取り入ろうとする行為と受け止め、同僚たちはむしろ疎外感を覚えていました。

同僚や友人は、CISOを目指す人自身の癖や盲点に気づかせてくれる存在になり得ます。Winkler氏が自社のためにベンチャーキャピタルからの資金調達に挑んだ際、そのプロセスに関する経験がほとんどなかったため、アドバイザーの助言に真剣に耳を傾けました。

「一緒に仕事をしていた投資銀行家から、『honestly(正直言って)』というつなぎ言葉を使うのをやめるべきだと言われました」と同氏は語ります。「それを使うと、他の場面では嘘をついているのではないかという潜在的な印象を相手に与えてしまうというのです」。

優れた政治家になる

「CISOには、さまざまなリーダーやオーディエンスの心に響く形で、セキュリティ上のニーズや投資の必要性を説明する能力が求められます」とLeMaire氏は言います。「優れたCISOになれるのは、セキュリティや技術に関する意思決定がビジネス上の目標とどうつながっているかを追求し続けられる人たちです」。

Harbaugh氏もこれに同意します。「CISOは、優れた政治家であると同時に、優れたビジネスパートナーでもある必要があります」と同氏は付け加えます。

もう一つの重要なスキルは、部門を横断した関係構築です。CISOはリスク管理において開発者、運用チーム、法務、財務、そしてビジネスリーダーに頼ることになるため、権限そのものと同じくらい影響力が重要になることが少なくありません。

「卓越したセキュリティ専門家であっても、そうした各グループとの信頼関係を築き、意思決定に影響を与え、共同で責任を担う体制をつくることができなければ、CISOという役職では苦労することになります」と、InfosysのExecutive Vice PresidentでAmericas Delivery部門を統括するAnant Adya氏は述べています。

自分の過ちを認め、そこから学んだ教訓を共有する姿勢は、信頼構築につながります。「説明責任、判断力、そしてビジネス面での成熟度を兼ね備えていることは、むしろ候補者としての強みになり得ます」とLeMaire氏は語ります。

実際、同氏は重要な場面や採用面接において「完璧すぎる」印象を与えることは避けるべきだとCISO志望者に助言しています。「完璧な候補者など存在しません。最も優れたCISO候補者とは、自分が何を誤ったのかを明確に語れる人物であることが多いのです」とLeMaire氏は言います。

ビジネスの重要性を決して忘れない

技術的な背景を持つセキュリティ専門家は技術的な細部に没頭しがちですが、CISOという役職にはより広い視野が求められます。自社が実際にどのように事業を運営しているか、そしてサイバーセキュリティに関する意思決定がビジネスにどう影響するかを理解する必要があります。

「私はMBA取得を強く勧める立場になりました」とWinkler氏は語ります。「人はビジネスを理解する必要があります。CFOやCIO、COOなどと対等な立場になりたいのであれば、同じ教育的基盤を持つべきです」。

MBAだけがビジネスに精通する唯一の方法ではありません。セキュリティリーダーは、予算管理を担当したり、複雑なプロジェクトに参加したり、製品・運用・リスク関連の職務で経験を積んだりすることでも、そうした知見を培うことができます。重要なのは、自社がどのように収益を上げているかを理解することです。

オープンマインドを持ち、学び続ける

CISOを目指す人にとって、好奇心は欠かせません。テクノロジーは急速に変化しており、それについていく必要があります。「AIエージェント、API、マシンIDは企業内で急速に増加しています」とAdya氏は言います。「それらが何にアクセスでき、何ができるのかを統制する方法を知ることは、将来のセキュリティリーダーにとって貴重なスキルになるでしょう」。

優れたCISOは、サイバーセキュリティ以外の分野での経験も持っています。「データ、クラウド、ソフトウェアエンジニアリング、運用といった分野に時間を費やしてみてください」とAdya氏は付け加えます。「回り道のように感じるかもしれませんが、テクノロジーがどのように構築され、使われているかを理解することで、より強いセキュリティリーダーになれます」。

Harbaugh氏もこれに賛同します。同氏は、CISOを目指す人に対し、先入観にとらわれずに難しい課題に取り組み、新しい技術を学び事業を支援することに情熱を持ち続けるよう助言しています。「給料のためだけに働くという姿勢ではなく、情熱を持って取り組んでください」と同氏は語ります。

メンターを、一人か二人見つける

30年以上前、キャリアの出発点でLeMaire氏は幸運にも二人の人物と出会い、彼らは今も同氏のメンターであり続けています。「私が学んだ最大の教訓の一つは、リーダーはリーダーを育てるということです」と同氏は語ります。「私の二人のメンターは、リーダーとしてどう導くかを私に教え、私がリーダーとして振る舞うことを期待し、そして今度は私が他の人にリーダーシップを教えることを期待してくれました」。

そうしたメンターシップのおかげで、同氏自身もキャリアを築くことができました。「私は彼らに深く感謝しており、自分も他の人に同じことをしてあげられていたらと願うばかりです」と同氏は語ります。

キャリアプランは描いても、それにとらわれすぎない

意欲的なセキュリティ専門家は、昇進や将来の肩書きに気を取られがちです。しかし、先のことばかりに過度に気を配ると、不必要な不安を生み、真に成功を左右する要素、つまり継続的な学び、レジリエンス、適応力、そして意味のある成果を出すことから注意がそれてしまうことがあります。

「本当のリーダーシップの成長は、長期的なキャリアパスを綿密に描くことからではなく、今与えられている役割で成果を上げることから生まれます」とAdya氏は言います。「私はこの考え方を受け入れ、常に正しいことに取り組み、課題に挑戦し、自分がいる場所で成果を生み出すことに集中してきました」。