ペンシルベニア州の最高情報セキュリティ責任者として 12 年間務めたエリック・アヴァキアン氏は、3代にわたる知事の任期をすべて乗り切っただけでなく、が示す他の責任者の平均在任期間である CISOs—18 ～26 ヶ月 を大幅に上回りました。
アヴァキアン氏も、同業他社の人たちと同じようにストレスを抱えていなかったわけでも、燃え尽き感を感じていなかったわけでもありません。 彼はたまにはそうしていました。 しかし、彼は自分自身を「戦士」だと考えており、ハッカーを撃退するという挑戦を心から楽しんでいました――つまり、昨年の秋、ついに別のことを始める時が来たと決断するまでは。
「実は今、心身ともに以前より調子が良くなりました」と、現在は民間企業のインフォテック・リサーチでテクニカル・カウンセラーとして勤務しているアヴァキアン氏は語ります。 「顔色が良くなり、全体的に健康になりました。」
変化を望んでいるのはアヴァキアンだけではありません。 In fact, a 2022 BlackFog survey reported nearly a third (32%) of U.S. and U.K. CISOs are considering leaving their current organizations.
一方、エグゼクティブ・リクルーターのハイドリック・アンド・ストラグルズ社が実施した別の の最新調査（ ）によると、CISOの60％がストレスの影響を受けており、 53％が仕事のバーンアウトに悩まされていることが明らかになりました。
この状況は、しばらく前から手に負えなくなってきています。 しかし、セキュリティの専門家たちは、問題の根本原因に積極的に取り組めば、状況を好転させることができると確信していると述べています。
肝心な点
一つの問題は、報われない仕事に縛られていると感じることです。 CISOの多くは、最高情報責任者（CIO）の直属となっています。 上司たちと同様に、彼らにも業務効率の向上を図ることが求められています。 彼らが褒められることはめったにありません。 彼らは、何か問題が発生した時だけ経営陣から連絡を受け、同僚がイノベーションを推進できるようどう支援できるかを尋ねるよりも、断ることに多くの時間を費やしています。 CISOは、収益源ではなく、コストセンターと見なされています。
こうしたことすべてが、彼らの人気を下げています。
「ビジネスを進める上で、セキュリティといえば作業の足を引っ張るものだと考えている人が大勢います。」クリス・プリウィット氏、 Inversion6社 CTO／CISO
「ビジネスを進める上で、セキュリティといえば単に作業の足を引っ張るものだと考えている人が大勢います」と、サイバーセキュリティ・リスク管理プロバイダーである Inversion6のCTO兼CISO、クリス・プリウィット氏は述べています。 「あなたはビジネスの惰性に逆らって進んでいるのです――少なくとも、一般的にはそう見られています。」
さらに、CISOは経営幹部層から数段階下の階層に位置し、取締役会への報告も年に数回しか行わないため、存在が忘れられがちという課題を抱えています。 成功指標の策定は、多くの場合、複数の段階にわたる検討を経て行われますが、その過程で期待値が大幅に薄められてしまい、もはや現実を反映しなくなってしまうことがあります。
ある大手食品・スナックメーカーのCISOによると、以前勤めていた会社のCIOは、取締役会でのプレゼンテーションの際に、より良い結果が示されるよう、工場のコンプライアンス報告書を改ざんしたことさえあったそうです。
「そういうことがストレスの原因になるのです」と、匿名を希望したCISOは述べています。 「必ずしも悪意があったとは限りませんが、私はそれを自分の尊厳を傷つける行為だと受け止めましたので、そのことを少し口に出しました。」 「結局のところ、取締役会に直属するCISOとして、そろそろその職場を離れるべき時が来たのかもしれない、と痛感させられました。」
[私が常に取締役会に尋ねるよう勧めている6 のサイバーセキュリティに関する質問]
これに関連する課題として、権限のない説明責任が挙げられます。 情報セキュリティ侵害はいつでも発生する可能性があるため、ほとんどのCISOは1日 24 時間、待機態勢をとっています。 実際、 によると、調査対象者の60％が 「めったにネットから切断しない」と答えています。 ほとんどの従業員は、 契約で定められた時間よりも週に16.5 時間 多く、過酷な労働を強いられています。 しかし、サイバー攻撃が発生し、迅速な対応を承認してくれる担当者に連絡が取れない場合、その責任はCISOに全面的に帰せられることになるでしょう。
「多くのCISOは、経営幹部の一員として受け入れられることに苦労していますが、上層部の都合が合うときは、誰もが経営幹部のように振る舞うことが求められています」と、データ分析コンサルティング会社カンターおよびドミノ・ピザの元CISOであるポール・ワッツ氏は述べています。 現在は、情報セキュリティフォーラム（ISF）の特別アナリストを務めています。
経営幹部との連携
もちろん、CISOが経営幹部や取締役会メンバーと強固な関係を築くことができれば、不当な非難を避けることができるかもしれません。 しかし、その多くは、上司との付き合い方といったソフトスキルに欠ける、戦術的な技術者なのです。 そのため、彼らは、重要な予算や人員配置のニーズについて経営陣の支持を得るのに苦労する一方で、上級管理職による後ろ盾を得ることができません。
「CISOとしての役割は、もはやパケットキャプチャの読み方を知ることではありません。 パケットキャプチャに含まれる情報が組織にどのような影響を与えるかを、 経営陣に的確に伝えることにあるのです」とアヴァキアン氏は述べています。 「残念ながら、ビジネスコミュニケーションのスキルをまだ磨く必要がある若いCISOが数多く見受けられます。」 「彼らは時折、経営陣との意思疎通に苦労したり、自身のプログラムに対する賛同を得られなかったりして、結局は辞めてしまうことがあります。」
セキュリティの専門家によると、多くのCISOも、自分たちに向けられるサイバー攻撃の複雑さ、高度化、および規模の拡大に苦慮しているとのことです。 人工知能（AI）や 機械学習（ML） を活用してネットワークの脆弱性を探し出し、大規模に侵入を行う自動化されたハッキングツールは、近い将来、ハッカーに優位性をもたらす可能性があります。 独自のAIや機械学習（ML）による対策を持っていても、ITセキュリティチームは、 人員不足や経験不足 のため、AIを駆使するハッカーの大群を食い止めることができないことがよくあります。
[関連記事：アリゾナ州のCISOが、現在の人材不足や資金難にもかかわらず、州全体を網羅する戦略をどのように実現しているかをご紹介します]
リーバイス・ストラウスの元CISOであるスティーブ・ザレフスキー氏は、ますます手口が巧妙化するハッカーに対抗するための予算や能力には限りがあったにもかかわらず、自身のチームはしばしばその規模以上の成果を上げていたと述べています。
「私たちはありとあらゆる手立てを尽くしてしまい、ますます運に頼るようになっていたことに気づきました」と、サイバーセキュリティ・アドバイザリーサービス「 S3 Consulting」を立ち上げるためにこの業界を離れたザレフスキ氏は語ります。 「そんな時こそ、もどかしさが募ってくるのです。だって、もっとたくさんのことをしたいと思っているのですから。」
では、どうすればこの混乱を乗り越えられるのでしょうか？
苛立ちや士気の低下を乗り越えるのは容易なことではありません。 しかし、CISOの方は、以下の4つの提言に従うことで、ウェルビーイングを高め、キャリアを長く続けることができます：
1. より良い条件を交渉する
CISOという役職に就く場合、精神的な健康を守るためにも、雇用条件について交渉することが重要です。 理想を言えば、その職に就く前に話し合いを行うべきです。 しかし、すでに採用されているのであれば、あきらめて辞めてしまう前に、CIOや部門責任者と問題について率直に話し合うべきでしょう。
「若手CISOは……経営陣とのコミュニケーションに苦労したり、自身のプログラムに対する理解や支持を得られず、結局は辞めてしまうことがあります。」エリック・アヴァキアン氏（元ペンシルベニア州情報セキュリティ責任者）
この話し合いの一環として、予算や人員配置に関してどのような見通しになるかについて、あらかじめ合意を形成しておく必要があります。 組織がサイバーセキュリティへの投資を制限したり削減したりしている場合、リソース不足に陥っているCISOに対し、削減前と同じ成果を上げることを期待することはできません。
「CISOが留任したものの、予算や人員が大幅に削減され、効果的に職務を遂行できなくなったという事例を何度も目にしてきました」とザレフスキ氏は述べています。 「予算が削減された場合は、経営陣と契約上の条件について再交渉する義務があります。」 「少ないリソースでより多くの成果を上げるつもりだ、とほのめかすだけなら、恥を知ってください。というのも、それが経営陣があなたに期待していることだからです。」
また、ある食品・スナックメーカーのCISOは、深刻なサイバー攻撃がすでに発生した場合に備えて、行動する権利を確保することで、「権限のない責任」というジレンマに対処することを推奨しています。これは、 のゼロトラスト・フレームワーク（）の特徴の一つです。 また、CISOは、自社の経営幹部や取締役が受けているのと同じレベルのサイバー保護が、役員賠償責任保険（D&O） を通じて提供されていることを確認すべきだと、同氏は述べています。 保険は、攻撃を受けた後に訴訟を起こされたり、さらには刑事告発を受けたりした場合に、彼らを保護するものです。これは、Uberの最高セキュリティ責任者であるジョセフ・サリバン氏が、情報漏洩を隠蔽したとして で重罪 の有罪判決を受けた際に経験したことです。
[関連記事：サイバー内部告発により、セキュリティ責任者が厳しい立場に追い込まれています]
「もし何らかの民事訴訟や刑事訴訟が発生し、D&O保険による補償がない場合、ご自身で保険に加入する必要があります」と、CISOは述べています。 「これは、CISOが転職を検討する際に話し合うべき重要な点です。」
2。 ソフトスキルを学び、実践しましょう
将来のCISOは、技術力だけに頼って成功することはできません。 サイバーセキュリティの問題が収益に与える影響がますます大きくなる中、経営幹部はITセキュリティ担当者に、組織の 重要なデータ や資産をどのように保護しつつ、業務の遂行やイノベーションの推進をより円滑に行えるようにしているのか、その説明を求めるようになるでしょう。 したがって、職を維持するためには、CISOは技術用語ではなく、ビジネス用語で話す方法を身につける必要があります。
[関連記事：CISOがサイバーリスクをCEOに実際に伝わるよう話す方法]
CISOの中には、こうしたソフトスキルを時間をかけて身につける方もいらっしゃいます。 しかし、脅威の状況が絶えず拡大・深刻化している中、それだけでは不十分です。 アヴァキアン氏は、学習を加速させるために、ビジネスコミュニケーションの研修プログラムに参加することを推奨しています。 また、一部のサイバーセキュリティ認定プログラムでは、カリキュラムの一環として経営幹部向けコミュニケーション講座も提供している、と彼は指摘しています。
3。 自分が情熱を注げる仕事に取り組みましょう
組織心理学者であり、『 』（）、『』、『The Burnout Challenge』（）、『』、『』の共著者であるマイケル・P・ライター氏は、CISOもまた、自分の仕事の中でどのような要素がモチベーションになっているかを書き留め、その方向に向けて徐々に業務計画や業務量を調整することで、ストレスを最小限に抑えることができると述べています。
「1日のあらゆる瞬間を心から楽しめる仕事をしている人は、ほとんどいません」と、オーストラリアのディーキン大学で組織心理学の教授を務めていたライター氏は述べています。 「目標は、本当にやりたいことと、やりたくないこととのバランスをより良くすることにあるはずです。」
4。 心と体を最優先にしましょう
サイバーセキュリティ業務は、CISOを頭がおかしくなりそうにする恐れがあるほか、心の安らぎを奪うことにもなりかねません。 そのため、一部のセキュリティ専門家は、セラピーやその他のメンタルヘルスに関する活動に時間を割くことを推奨しています。
「もし予算が削減された場合、[それにもかかわらず]『少ない予算でより多くの成果を上げる』とほのめかすだけなら、恥を知ってください。」スティーブ・ザレフスキー氏（元CISO、リーバイス・ストラウス）
「すべてのCISOは、自身の心身の健康全般に気を配る必要があると思います」とアヴァキアン氏は述べています。 「この仕事には、かなりの精神力が必要です。」 「チームにとって有能なリーダーであり、良き指導者であり続けるためには、心身ともに健康を維持するよう心がけることが大切です。」
また、CISOはセキュリティチームのメンバー一人ひとりと定期的に連絡を取り、彼らの状況を確認することも重要だと、同氏は付け加えています。
CISOには体力と持久力も必要とされます。そのため、世界中のテクノロジー分野のリーダー 250 人のうち80％が、OneLoginに対し、仕事のプレッシャーを和らげるために運動を行っていると回答しました。
「私たちが知っているのは、身体の現在の状態が行動や感情、思考に影響を与えるということです」と、産業・組織心理学者であるロビン・マッセイ氏は声明の中で述べました。 「したがって、生理的要因が、対人関係や心理的要因とどのように相互に関連しているかを理解することが重要です。」
それは、苦労の末に得られた心身のアドバイスです。 しかし、サイバーセキュリティの最前線に立つ方にとっては、非常に役立つものです。
