セキュリティチームにおけるバーンアウトは、極めて現実的かつ多大なコストを伴う問題です。 私は自分のチームの中で、また時には自分自身の中にも、そのような様子を見てきました。 時速100万マイルの勢いで動き回り、数十ものプロジェクトの間で切り替えを行い、次々と発生するトラブルに対処しています。 時には、どうしても行き詰まってしまうこともあります。
セキュリティの専門家たちは、堤防に指を差し込んだオランダの少年のような存在です。 今日となっては、その堤防には何千もの穴が開いてしまっています。 の調査（ ）によると、平均的な企業では1日あたり10,000 件以上のセキュリティアラートが発生しており、そのうちのほぼ30％が100万件以上のアラートを報告していることが明らかになりました。 アラート疲れが生じてきます。 バーンアウトが増加しています。
人々はよく、一息つければ問題が解決すると思い込んでいます。 しかし、なんとか休暇を取ることができたとしても、帰ってきた当日はリフレッシュしているかもしれませんが、しばしばバーンアウトが再発してしまいます。
このような「同じことを繰り返す」サイクルに代わって、当社のセキュリティチームは、この問題に対するより良い解決策を見出しました。それは、「かんばん」として知られる、古くからある日本のワークフローシステムに基づいたものです。
解決策の策定
定義上、セキュリティ専門家の仕事はストレスの多いものです。あらゆる方向から高度な脅威が迫り、組織を機能不全に陥らせる可能性のある重大なセキュリティ上の失敗も起こり得るからです。 の調査によると、アメリカの平均的な労働者と比較して、セキュリティ専門家は以下の通りです：
- ワークライフバランスが悪いと報告する割合が2倍以上高くなります。
- 休暇をすべて取得しない可能性が3倍以上高くなります。
- 雇用の安定について心配する確率が5倍以上高くなります。
同様のストレスは、雇用が不安定なセキュリティ管理やリーダーシップの分野にも及んでいます。 最高情報セキュリティ責任者（CISO）の平均在職期間は 18 ～24 ヶ月であり、CEOの平均在職期間である約9年よりもはるかに短いものです。
「人々の自然な働き方は、警備員のストレスやバーンアウトにおいて、極めて重要な根底にある役割を果たしています。」
こうした課題に対する一般的な対応策としては、人員を増員したり、 のインテリジェントオートメーション システムなどの技術を導入したりして、業務負荷や時間のかかる反復作業を軽減することが挙げられます。 どちらも重要です。 しかし、企業はこうしたものを「特効薬」だと考えがちです。
こうしたアプローチは、「人、技術、プロセス」という三本柱のうちの3本目である職場プロセスの重要性を、自らのリスクを冒してまで無視していると思います。 人々の働き方は、警備員のストレスやバーンアウトにおいて、本質的かつ極めて重要な役割を果たしています。
Taniumでは、 カンバン（）の導入に向けた取り組みが評価され、「 CSO50 イノベーション賞」を受賞いたしました。これは、トヨタが「ジャスト・イン・タイム」生産を支援するために考案したアジャイルなワークフロープロセスであり、現在ではソフトウェア開発の分野でも活用されています。 かんばんの重要な洞察の一つは、マルチタスクは理論上は良さそうに見えますが、実際には成功することはめったにないということです。 ワークフローのプロセスにおけるすべての要素が等しく重要であるならば、結局のところ、重要なものは何一つありません。
「ジャスト・イン・タイム」アプローチは、スクラムのような他のアジャイル手法とは対照的に、サイバーセキュリティ分野で見られる業務負荷と非常に密接に関連しており、日々、あるいは1時間単位で状況が変化する中でも、タスクの優先順位付けや再優先順位付けを継続的に行うことを可能にします。
「作業内容を可視化することで、経営陣はチームの業務量やチームに課せられている負担について把握できるようになります。」
かんばん方式の鍵となるのは、チームのワークフローを可視化することです。 そうすれば、チームの優先事項や、チームメンバーの各々が何に取り組んでいるのかが、全員に把握できるようになります。 透明性が高まると、人々が課題を認識し、それを共有することで、チームワークがさらに深まることがわかりました。 チームが共通の目標を達成できたとき、それは一人だけの勝利ではなく、全員の勝利となります。 それにより、私たちは互いに頼り合い、「一つのチーム、一つの戦い」という精神を体現することができるのです。
[関連記事：Taniumの従業員が「Impact」を通じて社会に貢献]
業務を可視化することで、経営陣はチームの業務量やチームに課せられている負担について把握できるようになります。 不適切なワークフローのパターンがすぐに現れてきます。 そうすれば、ステークホルダーの期待値をより適切に設定したり、チームメンバーに新しいスキルを習得させるためのクロストレーニングを実施したりすることで、これらの問題を解決することができます。 チームが新たな課題に取り組めるよう支援することで、スキルギャップを解消し、成長の機会を提供し、需要に対応する能力を高めることができます。
指標の追跡
私たちは、タスクを完了するのにかかる時間（サイクルレート）、チームに新しいタスクが割り当てられる頻度（到着レート）、そしてチームが作業を完了する頻度（スループットレート）といった指標の追跡を開始しました。 例えば、処理速度が処理能力を上回った場合、プロセスやツールのさらなる最適化が必要であるか、あるいはプロジェクトに人員を増員する必要があるという、データに基づいた兆候が得られました。
結局のところ、このワークフローシステムによって、当社のセキュリティアナリストの業務効率が向上したことがわかりました。 業務内容を一か所にまとめて可視化することで、需要の増加に対応しようと、チームがあまりにも多くのタスクを同時にこなそうとしていたことがすぐにわかりました。 人員を増員したり、新しい技術を導入したりするのではなく、かんばん方式を用いて、各メンバーが同時に担当できる進行中の作業（WIP）の数に上限を設けました。
「頻繁なタスク切り替えによる非効率性を解消した結果、サイクルタイムが 15 日から6日に短縮されました。」
それは直感に反するように思えます。 しかし、WIPタスクを削減することで、頻繁なタスク切り替えによる非効率性を解消し、サイクルタイムが 15 日から6日に短縮されました。 つまり、以前は1つのタスクを完了するのにかかっていた時間で、今では2.5つのタスクを完了できるようになったということです。 さらに、不具合率――つまり、バグや不適切な出力が発生した割合――は、平均して半分以下に減少しました。
バーンアウトの悪循環を断ち切る
バーンアウトは、サイバーセキュリティの専門家の間で深く根付いた、組織的な問題です。 これにより、新入社員の受け入れ、リソースの枯渇、そして離職という繰り返しのサイクルが生まれます。
チームのメンバーがバーンアウトで離脱してしまうことほど辛いことはありません。 チームメンバーの1人がバーンアウトを感じている場合、他のメンバーも同様の状態にある可能性が高いでしょう。 そして、誰か一人でも去ってしまうと、問題はさらに深刻化するばかりです。 他の全員がその穴を埋めなければならず、その結果、さらにバーンアウトが深刻化してしまいます。
しかし、必ずしもそうである必要はありません。
かんばん方式を導入したことで、ワークライフバランスが改善されました。 煩わしくストレスの多いタスクの切り替えや個々の未処理業務はなくなり、その代わりに、協力体制が築かれ、完了率が向上しました。 タスクをより早く終えることができたため、各チームメンバーは、同僚に迷惑をかけることなく、必要な長めの休憩を取ってもよいと感じることができました。
バーンアウトの蔓延に正面から取り組むには、私たちの文化を変える必要があります。 サイバーセキュリティのリーダーとして、私たちには、チームに対して「能力には限界があるのは当然のことだ」と伝える必要があります。 確かに、私たちの仕事では、常にその限界に挑戦し、時にはそれを超えなければならないこともあるでしょう。 しかし、効率を最適化すれば、チームが長期間にわたって過度に負荷がかかった状態にならないようにすることができます。
バーンアウトの問題を完全に解決することは、決してないでしょう。 しかし、この問題に対処するための新たな方法を見出すことについては、私たち全員が共同で責任を負うことができます。 セキュリティ分野のリーダーたちは、カンバンといったアジャイルなワークフロー手法を試してみる必要があります。
