CISAの監査がサイバーセキュリティの給与インセンティブをめぐる議論を引き起こす

サイバーセキュリティ・インフラストラクチャー庁（CISA）のサイバーセキュリティ給与インセンティブを非難した監査報告書について、CISAの職員らは、報告書が文脈を欠いており、トランプ政権が重要な人材維持プログラムを終了させる口実になるのではないかと懸念しています。

最近の国土安全保障省の監察総監報告書によると、CISAはサイバーセキュリティ人材維持インセンティブの支払いを、資格のない数百人の職員に対して行っており、2020年度から2024年度までに総額1億3800万ドルに上るインセンティブの管理も適切に行われていなかったと指摘されています。報告書によれば、CISAは本来受け取る資格のない348人に対して140万ドルのインセンティブを支払っており、該当職員からの返還請求の是非を検討するよう勧告しています。

監査人は、「サイバーセキュリティに直接関係しない役割」のさまざまなミッション支援部門から、サイバーインセンティブを受け取っていた240人の職員を特定したと述べています。これにはCISAの戦略、対外関係、ワークフォース・エンゲージメントチームが含まれます。

この報告書は、CISAに新たな注目を集める可能性があります。CISAは、数か月にわたる攻撃をトランプ政権の指導者から受けており、同庁が権限を超えていると非難されています。DHS（国土安全保障省）は報告書の指摘に同意しており、サイバー給与インセンティブの運用方法を見直す意向を示唆しています。

CISAの職員はCybersecurity Diveに対し、政権がプログラム自体を廃止するのではないかと懸念していると語りました。複数の職員は、このインセンティブが自分たちが同庁に留まっている大きな理由の一つだと述べています。

一部の職員は、監査人がインセンティブの基準が曖昧であることについて正当な指摘をした一方で、直接的なサイバーセキュリティ実務者だけがサイバーの知識や経験を必要としているわけではないなど、重要なニュアンスが報告書で見落とされていると述べました。

「現政権が（無意識に、あるいは意図的に）気づいていないのは、サイバーセキュリティに『直接関係しない』場合でもサイバーの知識が必要だということです」と、この記事のために取材を受けた他の職員と同様、報復を避けるため匿名を希望したある職員は述べました。「どこで働いていても、『直接関係する』人々を支援するためにこの知識が必要です。」

この職員は、政策や戦略を策定する人々がサイバーセキュリティの仕事をしていないと示唆するのは異例だと述べました。「基礎となるサイバーの課題を理解していなければ、どうやって効果的なサイバーセキュリティ戦略や計画を設計できるのでしょうか？」とこの職員は語りました。同じことはCISAの対外関係チームにも当てはまると主張し、「ランサムウェアのようなものの認知度を高めたいのであれば、それが何であり、どのように使われ、検出され、対策されるのかを知る必要があります」と述べました。

「これらの人々はマルウェアを解析しているわけではありませんが、その職務には、一般の人々や技術的な業務を行う人々と関わるために、サイバーセキュリティに関する強力で独自の理解が求められます」とこの職員は付け加えました。

別のCISA職員も、報告書が資格の定義に関する複雑な問題を浮き彫りにしたことに同意しました。「コードを書いたりスクリプトを実行したりしないが、他の面で重要な人々も対象となるべきでしょうか？」とこの人物は問いかけました。

それでも、複数の職員はプログラムの欠点に対する精査は妥当だと述べました。

「このプログラムは、サイバーに関係のない人々によって悪用されてきたと思います」と2人目の職員は述べました。

3人目の職員は、報告書は「かなり的を射ているように思える」と述べました。

サイバー人材流出のリスク

しかし、DHSとCISAがインセンティブを見直す中で、政府が支払いを厳しく制限し、本当に必要な人材まで排除してしまう可能性があります。トランプ政権が職員の3分の1を削減した後、これ以上の人材流出は許されないとCISAの職員は警鐘を鳴らしています。

「報告書は、誰がサイバー給与を受け取っているのか、その役割に本当に必要なのかという正当な疑問を浮き彫りにしています」と4人目のCISA職員は述べました。「しかし、サイバー給与の削減や廃止の脅威は、すでに（離職や解雇による）損失に苦しんでいるCISAの職員に大きなストレスを与えるでしょう。」

CISAが監査人の勧告に従いインセンティブ支払いを抑制する中で、同庁は来年夏の終わりまでに対応を終える見込みですが、職員は何が変わるのかについて不安を抱えています。

「私の個人的な考えでは、これは（a）連邦職員の給与を減らして退職を促し、（b）CISAの予算を削減するための別の手段だと思います」と最初の職員は述べました。