世界最大級の宅配便会社の一つであるドイツのドイチェ・ポストDHLグループが、 2020年3月のデビッド・ソーニューウィル氏のために、グローバルなサイバーセキュリティ分野における独自の役職を新設したことは、単に彼の才能に対する信頼を示すだけにとどまりませんでした。 ソーニューウィル氏によると、これは、数百カ国で事業を展開する複数の部門を持つ多国籍企業にとって、サイバー攻撃に対抗するための統一された手法が必要であるという認識だったとのことです。
「サイバーセキュリティへの関心と投資がますます高まるにつれ、私たちはより一層の連携が必要だと気づいたのです」と、ソーニューウィル氏は述べています。 「人々は事業部門を攻撃するのではなく、ブランドを攻撃するからです。」
現在、ソーニューウィル氏はこの物流大手企業のグループ最高情報セキュリティ責任者（CISO）を務めており、来年、本社の業務担当最高情報責任者（CIO）という以前の役職を退く見込みです。 (The company grew out of the privatized German post office and pulled in
$77 billion in revenue in 2020.) その規模と流通ネットワークを考えると、同社のサイバーセキュリティ担当者は極めて重要な役割を担っています。 DHLエクスプレス、DHLサプライチェーン、DHLグローバルフォワーディングを含む各部門には、各事業部門と同様に、CIOとCISOが配置されています。 ソーニューウィル氏の役割は、これらすべての組織におけるさまざまなサイバーセキュリティ対策を調整することです。
すべての組織が、ドイチェ・ポストと同じ規模のニーズを抱えているわけではありません。 しかし、ソーニューウィル氏の新たな役職は、今日の世界的なサイバーセキュリティ危機に直面する中で、有資格のCISOの重要性が高まっていること（ ）を如実に示しており、その地位の向上は報酬にも反映されています。
人材紹介会社ハイドリック・アンド・ストラグルズが実施した「 」調査（ ）によると、米国のCISOの総報酬の中央値は、2020年の784,000 ドルから今年は936,000 ドルへと19％上昇しました。 報酬総額は平均で 12％増加し、最も手厚い報酬パッケージは西海岸の企業で見られました。 Hitch Partnersによる「 」調査（ ）によると、同地域では、上場企業の年間報酬総額の平均は100万ドル以上、非上場企業では731,000 ドルとなっています。
採用における課題
企業がパンデミックの影響から脱却し、事業をパンデミック前の水準まで回復させ、 デジタルトランスフォーメーションの取り組みを継続し、 ネットワークのセキュリティ確保を図る中で、CISOの人材確保が困難になっていることが分かってきました。
採用活動の厳しさが増しています。セキュリティ専門家は、職務に伴うストレスから バーンアウト に悩まされており、求職者も、受け入れられる給与や報告体制について、ますます選り好みをするようになっています。
その結果、テクノロジーおよびITコンサルティング会社「 Trace3」の副社長兼CISOであるブライアン・キッシンジャー氏のような専門家たちは、 のような組織が を常勤として雇用する余裕がない場合、コンサルタントとしてのCISOを派遣することに、ますます多くの時間を割くようになっています。 キッシンジャー氏は、人材の供給と需要のミスマッチはビジネス上好ましいことだと述べていますが、その裏側もあります。 「私は元CISOの方々と仕事をしているのですが、彼らを引き留め、興味を持ち続けてもらえるだけの十分な報酬を支払うという課題に日々直面しています」と彼は言います。
[関連記事：サイバーリスクスコアとは何か、なぜ重要なのでしょうか？]
ドイツポストは、アプリケーションセキュリティ、DevOps、リスク管理、あるいは 脅威ハンティングの分野ですでに才能を持つ従業員に対し、 スキルアップを図り、 必要な資格の取得を支援し、キャリアコーチングを提供することで、この課題に取り組んでいます。 「学歴よりも、情熱のある人を採用したいですね」とソーニューウィル氏は述べています。 「情熱のある人なら、いつでも指導することができます」と彼は言います。
CISOには、柔軟な対応力と機転の利く思考力が求められます。また、バイリンガルであることも有利です。つまり、技術用語と のビジネス成果 の両方を、経営陣に対して的確に説明できる能力が求められます。 ハイドリック社の調査によると、CISOの約 90％が企業の取締役会に報告を行っており、その4分の3が四半期ごとに報告を行っています。 「取締役会からは、これまで以上にテクノロジーに関する質問が寄せられています」と、企業のCIO、CTO、CISOの採用を手掛けるヘラー・サーチ・アソシエイツのCEO、マーサ・ヘラー氏は述べています。 「CISOがCEOやCFO、取締役会とどのように対話すべきかを理解している能力こそが、私たちが最も重視しているスキルです。」
[関連記事：フロンティア・コミュニケーションズ元CEOのマギー・ワイルダーロッター氏が語る、サイバーセキュリティにおいて企業取締役会が主導的役割を果たすべき理由]
誰が誰の直属ですか？
CISOにとって、誰に報告するかは、就職のオファーを検討する際の重要な要素になりつつあります。 多くの業界において、CISOは従来、CIOの直属として業務を行ってきました。 この状況に対し、CISOからはしばしば「利益相反」との声が上がっており、彼らは、自らが掲げるセキュリティ上の優先事項が、CIOの業務上および事業上の目標に次ぐ位置づけにされていると不満を訴えています。
「CISOがCEO、CFO、そして取締役会とどのように対話すべきかを理解している能力こそが、私たちが最も重視するスキルです。」ヘラー・サーチ・アソシエイツのCEO、マーサ・ヘラー氏
ハイドリック社の調査によると、今日でもCISOがCIOの直属となるケースは依然として一般的です。同調査では、回答者の 38％がその組織体制を挙げ、 16％がCTOまたはエンジニアリング部門の責任者に、 12％がCOOまたは管理部門の幹部、 11％がCEOに報告しており、残りの回答者は、グローバルCISOや最高リスク責任者など、その他の役職に報告していると回答しました。
「報告系統において対立が生じる可能性は確かにあります」とソーニューウィル氏は述べています。 例えば、CISOは顧客に の多要素認証の利用を望んでいるかもしれませんが、CIOは利便性を優先したいと考えているかもしれません。 CISOは、あらゆるケースで勝利できるとは期待できません。なぜなら、ビジネスにはある程度のリスクを受け入れることも含まれているからです。 しかし、彼らは自分たちの懸念を真剣に受け止めてほしいと望んでいる、とソーニューウィル氏は述べています。
[関連記事：パンデミックにより、CISOの役割は事業に不可欠なものとなりました。 [その地位を維持するには、次のようにすればよいのです]
同社の組織体制において、ソーニューウィル氏はドイチェ・ポストのCEOに直属しています。 同氏によると、同グループの主要部門のCISOたちが、組織のセキュリティ維持業務の大部分を担っており、より伝統的な報告体制をとっているとのことです。 「各部門のCISOは、現地のCIOに報告する体制となっています。これが最善の体制かどうかは定かではありませんが、当社ではこのように運用しています」とソーニューウィル氏は述べています。
彼は、各部門のCISOが自分の意見に耳を傾けてもらえない場合に備え、彼らに「別の行き先」を提供しようとしています。 CISOが誰に報告すべきか――CEOでなければ、COOかもしれません――を再考することは、「真剣に検討する価値がある」とソーニューウィル氏は述べています。
キッシンジャー氏によると、理想的な体制は、サイバーセキュリティ・プログラムの成熟度によって異なる可能性が高いとのことです。 組織に十分に整備されたプログラムがある場合、CISOがより独立性を高めることは有益である可能性があります。 一方、サイバーセキュリティ体制の構築と発展に取り組んでいる企業のCISOにとっては、「ITチームの一員であることは、非常に、非常に有益である」と彼は述べています。
刻々と変化し続けるCISO
CISOへの需要が高まっている一方で、その役割や責任は常に変化しています。
従来、この職務には、ITに関する技術的なスキルに加え、ネットワークおよびアプリケーションのセキュリティ、ペネトレーションテスト、 、ならびに防御対策に関する深い知識が求められてきました。 より高度で高価なセキュリティツールやプロセスの必要性が高まるにつれ、CISOは、財務やコンプライアンスなど、ビジネスの他の分野に関する戦略的な洞察や経験を提供しなければなりません。
CISOは、優れたコミュニケーション能力を備えているだけでなく、ガバナンス、規制、リスク管理、監査の各分野における専門家でなければなりません。
[関連記事：脅威ハンティングとは何か、なぜ重要なのでしょうか？]
ソーニューウィル氏はMBAを取得しており、そのおかげでCEOやCFOと話す際、ビジネスや金融の用語を自在に使いこなすことができます。 同社での 20 年間、彼は物流部門をはじめ、企業のさまざまな部署で勤務してきました。 彼によると、CISOの同僚の中には、より高度な技術スキルを持つ人もいれば、財務やコンプライアンスのバックグラウンドを持つ人もいるとのことです。 何よりもまず、CISOには探究心があり、常に学び続ける姿勢が求められます、とソーニューウィル氏は述べています。
オンボーディング
CISOの価値は実務を通じた研修にますます重きを置かれるようになっていることを踏まえ、雇用主は、求める資質のすべてを満たしていなくても、その一部を満たし、成長の可能性を示している候補者にも、より積極的に目を向けるようになってきています。
「私たちが主に扱っているのは、まだ完成形とは言えない候補者たちです」と、クラウドを専門とするテクノロジー企業向けにサイバーセキュリティ人材の採用を行うHitch Partnersのマネージングパートナー兼共同創業者、マイケル・ピアチェンテ氏は述べています。 同氏によると、候補者にはネットワークセキュリティ、アプリケーションセキュリティ、あるいはガバナンス・リスク・コンプライアンス（GRC）といった分野で特定の「特技」があるかもしれませんが、取締役会に対して専門用語を使わない分かりやすい説明を行うといった、その他のスキルについては指導が必要だとのことです。
有能なCISOを引き寄せるための戦略の一つは、例えば取締役会の席を提供するなどして、その人物の野心を実現させてあげることです。 ハイドリック社の調査によると、CISOのうち取締役会に在籍していると回答したのはわずか 4％でしたが、半数が取締役になりたいと回答しました。 ハイドリック氏は、多くのCISOがすでに諮問委員会に名を連ねていること、また「業務のより多くの要素が完全にデジタル化されるにつれて、サイバーセキュリティの重要性は今後も高まり続ける」ことを踏まえると、この目標は達成可能であるかもしれないと述べています。
[関連記事：昨日の考え方では、明日の脅威には太刀打ちできません]
CISOの採用において、従来から課題となってきたのが、人材の供給源の問題です。 ハイドリック社が実施したCISO調査によると、回答者の 80％以上が白人であり、 80％以上が男性でした。 近い将来、その状況は変わるかもしれません。 今年、この採用担当者は、「CISOの役職に就く人々の多様性が高まっており、企業も多様なCISOの採用に一層注力している」と述べています。
ハイドリック社は、企業が「その役職に最適な幹部人材、すなわち性別や人種・民族、さらには業界や職能の専門知識の面で多様性を持つ人材を含む」を見つけるために、従来の業界の外に目を向ける傾向がますます強まると予想しています。
