出典: Alamy ストックフォト経由の Brain light
セキュリティスタッフの間での燃え尽き症候群に対するスティグマは薄れつつありますが、組織は急速に増えるストレス要因を管理するための会話を拡大し続ける必要があります。
CISOから新入社員まで、サイバーセキュリティの専門家は脅威に先んじるためにより多くのことを求められていますが、彼らの仕事の満足度やキャリアの見通しはストレスに見合っていません。多くの人が仕事に閉塞感を感じており、医療のような重要な分野では、結果として命がかかっていることもあります。
サイバーセキュリティの専門家は通常、長時間働き、高リスクの状況に直面します。ランサムウェアグループは、オフィスが空いている時間帯を狙って被害者を攻撃することがよくあります。広範な搾取は、組織が緊急にパッチを当てる必要がある脆弱性に対していつでも始まる可能性があります。
医療分野のサイバーセキュリティ専門家も、レガシーシステム、非常に機密性の高い情報、そして中断できない患者ケアのために課題に直面しています。たとえ医療機関自体が重大な攻撃に直面していなくても、常にこの分野に対する破壊的な脅威の報告があります。
“医療分野で働くとき、決して取り除けない圧倒的な恐怖があります” と、IANSリサーチの教員であり、Fortified Health Securityの独立取締役であるポール・コネリーは言います。”医療には命がかかっており、それは誰もが話したくないことです。”
関連記事:セキュリティシアターの幻想を打破する方法
しかし、多くのセキュリティチームや組織は適切なリソースを欠いているか、人材不足に直面しています。ストレスと非現実的な期待、基準が組み合わさり、業界全体で高い燃え尽き率を引き起こしています — 特に最高情報セキュリティ責任者（CISO）において。
CISOは、組織のビジネスと技術の両面をバランスよく、巧みに扱うことが期待されています。サポート、ツール、資金は改善しているかもしれないとコネリーは言いますが、攻撃の巧妙さとビジネスへの影響の増加、攻撃面の拡大、そして規制、ステークホルダー、保険の期待の増加が仕事をより困難にしています。
“多くのCISOが依然としてリーダーシップや取締役会から非現実的な期待に直面しているのを聞くのは驚くべきことです” とコネリーは言います。”侵害を防ぎ、成功するか、そうでなければ成功したCISOではないと言われる。すべての要求が増えています。”
燃え尽き症候群が侵害を引き起こす
セキュリティの最前線では、過労のインシデント対応者（IR）は常に警戒を怠らず、これが精神的健康の悪化と関連する可能性があります。毎日同じ、時には単調な作業を行うことは停滞感を引き起こす可能性があります。そして、すべての人が燃え尽き症候群を表明するわけではないと、Sophosのアドバイザリーサービスのグローバルヘッドであるジェイク・ドーヴァルは言います。従業員は、自分がどれほど燃え尽きているかを認識していないか、休暇を必要とすることを批判されると思って黙っているかもしれません。
これらの専門家の多くは、埋めるべきニーズがあるためにサイバーセキュリティで働いていますが、彼らの役割は自分の興味や能力と一致していないと、Sophosのフィールドチーフテクノロジーオフィサーであるアーロン・ブーガルは言います。 “それが多くのストレスを引き起こし、多くのことがうまくいかなくなり、その結果、侵害が発生します” とブーガルは言います。
機能部門の責任者、CISOに直接報告する人（セキュリティオペレーションの責任者など）は、満足度の点で最悪の状態にあるかもしれないと、IANSのシニアリサーチディレクターであるニック・カコロウスキーは警告します。仕事を変える機会やキャリアを進める機会は広く提供されていないと彼は指摘しました。
“彼らはCISOになることなく、できる限りのところまで来ています” とカコロウスキーは言います。”CISOの求人市場は非常に遅く、仕事に飛び込む機会がなく、開かれる少数のポジションは、役割に確立された人を求めています。”
新しい労働力が新たな懸念を生む
サイバーセキュリティの労働力に新たに加わる人々や若いスタッフは燃え尽き症候群に直面していますが、それは長時間労働によるものではないかもしれません。代わりに、組織が新人を経験や興味のないポジションに配置していることが原因かもしれません。多くの人が業界に採用されていますが、技術的または非技術的なスキルや専門性に合わないポジションに配置されています。
“新しい人が入ってくると、業界は『素晴らしい、もっと席に座る人が必要だ。だから入って座って、この端末の前に座ってセキュリティオペレーションチームの検出エンジニアになるんだ』と言います” とブーガルは言います。”そしてこれらの文字通りの若者たちは『これが自分がサインアップしたことではない。ログを一日中見ていたくない』と言い始めます。そして彼らは自分のしていることに対して反感と無関心を抱き始めます。それが彼らにとってすぐにひどく悪化する時です。”
停滞対過労
燃え尽き症候群は持続的な問題であり続けていますが、最近では少し異なって見えます。セキュリティチームには、持っているリソースとスタッフで働くための圧力が増しており、組織はエントリーレベルの役割を開くための正当性や予算を見つけるのに苦労しています。
サイバーセキュリティの専門家は依然として過労を感じるかもしれませんが、彼らがただ閉塞感を感じているほどではないとカコロウスキーは付け加えます。
“私たちが見ている燃え尽き症候群は、過労というよりも、成長と発展、キャリアの機会がないと感じることに関するものです” とカコロウスキーは言います。”セキュリティは常に人々を能力の限界に押し上げる瀬戸際にあり、キャリアの機会の壁にぶつかっているという事実が、彼らが扱える限界の瀬戸際に生きることをより困難にしています。”
メンターシップ、コーチング、クロスファンクショナルなサイバースキルを学ぶためのインターンシップは、停滞感を緩和することができます。たとえ従業員が新しい肩書きを得ていなくても、組織の他の部分や将来のキャリア成長が可能な他の機会への可視性を促進することが重要です。
専門家の推奨事項
特定の役割に焦点を当てて、コネリーはCISOが仕事を委任し、他の人がその仕事を処理することを信頼することを学ぶことを推奨します。難しいかもしれませんが、サイバーリスクをリーダーに伝えることで、CISOが達成しようとしていることに対するサポートが増えるかもしれません。”あなたの管理があなたをサポートしていることを知ることは、ストレスと燃え尽きの大きな軽減をもたらします” とコネリーは言います。
インシデント対応者に関しては、良いプロアクティブな測定を導入することが重要ですとドーヴァルは言います。”彼らが燃え尽きていることを伝え、燃え尽きるのを止める必要があるかもしれません” と彼は言います。”彼らの利用率と生産性を非常に注意深く監視することが非常に重要です。”
休暇を義務付けることに加えて、インシデント対応者が行う作業の種類を変えることも、燃え尽きを防ぐために有益です。たとえば、緊急のサイバーファイアを戦うことを、よりプロアクティブなものに置き換えることです。
会話を正常化する
燃え尽き問題に関する認識は年々改善されています。特にリーダーシップや権力のある立場の人々が、燃え尽きをより真剣に取り組み始めていますとブーガルは言います。それでも、タブーのレッテルは完全には取り除かれていません。
昨年、Sophosはアジア太平洋および日本におけるサイバーセキュリティの未来レポートを発表し、燃え尽きに関する質問に対する多くの回答があったことにブーガルは驚きました。回答は、業界全体で燃え尽きやメンタルヘルスの話がどれだけ一般化されているかを強調しました。
これは、メンタルヘルスの話がしばしばタブーとされるアジアにおける興味深い発展ですとブーガルは言います。”皆が応答し、何らかの意見を述べ、これは実際に問題であると言いました。これは伝統的にそのようなことを公然と話さない日本、シンガポール、マレーシアのような場所から出てきたことは大きなことでした” とブーガルは言います。
それでも、組織は運用階層におけるメンタルヘルスという深刻な問題を見直し、どこにもっと取り組む必要があるかを理解する必要があると彼は付け加えます。