大学や専門学校がこの分野の卒業生をますます多く輩出しているにもかかわらず、数十万ものサイバーセキュリティ関連の求人が埋まらず、多くの企業が採用プロセスが長引く中で人手不足に悩まされています。 ここで実際に何が起きているのか、到底見当がつきませんが、企業としては、自分たちがこの問題にどのように関与しているのかについて、そろそろ考えるべき時なのかもしれません。
ISACA（情報システム監査・統制協会）が、世界中の 2,000 名以上のビジネスリーダーを対象に実施した第9回年次「サイバーセキュリティの現状」調査（ ）によると、サイバーセキュリティ担当幹部の約60 パーセントが、自社では人員が不足していると回答しています。 CyberSeekによると、米国だけでも、約 570,000 件のサイバーセキュリティ関連の求人がで未充足となっています。
回答者のほぼ 40 ％が、所属組織でサイバー攻撃が前年より増加していると回答し、 31 ％が攻撃の件数は変わらないと回答しているにもかかわらず、これらの求人は依然として募集中です。
ISACAのプロフェッショナル・プラクティスおよびイノベーション担当ディレクターであるジョナサン・ブラント氏は、この膨大な数の求人について、企業による「自業自得」であると述べました。
人材不足の問題をさらに深く掘り下げるため、ISACAは今回初めて、回答者に対し、経験者を求める職種と未経験者を求める職種、どちらの求人を募集しているかについて質問しました。
約 50 パーセントが、実務経験者を対象とした求人を募集していると回答した一方、21 パーセントが新卒・未経験者を対象とした求人を募集していました。
大学や専門課程でサイバーセキュリティ分野の卒業生が増加しているにもかかわらず、回答者の 38 パーセントが、初級職の採用に3～6ヶ月かかると答えたことに、ブラント氏は驚きました。
「冗談でしょう？」 と彼は言います。 「実際のところ、本当の問題は何なのでしょうか？」
新卒採用における「高額な給与に驚く」現象
ブラント氏は、今日のサイバーセキュリティ分野の人材採用における重要な問題の一つは、企業の経営陣や人事担当者によって広められている、著しく偏った考え方に起因していると考えています。 その誤解とは？ 「エントリーレベルの職」について、彼は「実際にはエントリーレベルではないのではないか」と疑っています。
「エントリーレベルの職は、実際にはエントリーレベルではないのです。」ISACAのプロフェッショナル・プラクティスおよびイノベーション担当ディレクター、ジョナサン・ブラント氏
彼は、サイバーセキュリティ分野の初任給は比較的高い傾向にあるため、採用担当者はエントリーレベルの職の候補者を面接する際、資格面において過度な期待を抱いている可能性があると考えています。 「人を雇うのにかかる費用の高さに、思わず驚いてしまうのです」と彼は言います。 そのため、一部の企業は、高額な給与を正当化するために「ユニコーン」の出現を待ち続けることになるかもしれません。
期待があまりにも高すぎたことが原因なのかもしれませんが、調査回答者のうち、応募者の少なくとも半数が希望する職位に十分な資格を備えていると答えたのは、わずか 26 パーセントにとどまりました。
大学を卒業したばかりの応募者が不足していた点は、コミュニケーション能力、批判的思考力、チームワークといったスキルであり、回答者の 68 ％がそう述べました。 これに対し、新卒者に自社が求めるセキュリティ対策の導入スキルが欠けていると答えたのは、わずか 54 パーセントにとどまりました。
調査によると、 経験豊富なサイバーセキュリティの専門家は、 見つけるのが難しいだけでなく、引き留めるのも難しいとのことです。 約 56 パーセントが、有能な人材を確保し続けるのに苦労していると回答しました。
福利厚生を武器にした競争
採用や人材の定着をより困難にしているのは、企業が福利厚生を削減する動きです。
認定試験の受験料を全額（ 65％）負担している雇用主はありますが、その割合は前年より1ポイント低下しました。 採用ボーナスを支給する企業の割合は2ポイント減少し、大学の学費を負担する企業の割合は5ポイント減少し、 28 ％となりました。
ISACAは、経済情勢の不透明さを理由に、福利厚生の縮小はサイバーセキュリティ業界に限ったことではなく、あらゆる業界で広く見られる傾向であると指摘しています。
それでも、ブラント氏は、企業が競合他社との差別化を図る絶好の機会があると見ています。 企業が最高の人材を確保したいと考えており、その余裕があるなら、「もう少しだけお金を上乗せしても構わない」と言うことができる、と彼は述べています。
企業が に対し、高額な福利厚生の削減に対する補償を行う他の方法としては、職場復帰の要件についてより柔軟に対応することが挙げられます。 回答者の約 28 パーセントが、遠隔勤務 に対する制限が退職の主な原因であるとの見解を示しており、これは前年より4パーセントポイント増加しました。
ブラント氏によると、人手不足の企業は、特に金銭以外のインセンティブに関しては、もう少し柔軟に対応する必要があるとのことです。
[関連記事：CEOやCIOが、従業員の士気を高めるためにメタバース会議やその他のバーチャル空間に注目している理由]
ISACAの調査によると、現時点では、セキュリティ担当ではないスタッフをセキュリティ業務に就けるよう研修を行うことが、人員不足に対処するための主な手段であり続けています。 昨年と比べて、人材不足を補うために請負業者やコンサルタントを採用したと報告した企業は少なくなりました。
DEXの優位性
企業が優秀なサイバーセキュリティ人材を採用したり、セキュリティ分野以外のスタッフをセキュリティ部門に引き寄せたりする上で優位に立つための方法の一つとして、 デジタル従業員体験（DEX） ソリューションを提供し、業務で使用するデジタルツールとの従業員の関わり方を改善することが挙げられます。 DEXソリューションは、エンドポイントにおけるデバイスのパフォーマンスを監視し、CPU使用率、スループット、空きディスク容量などを追跡した上で、技術の効率向上を図ります。 その目的は、職場に対する従業員の不満や不満足感を軽減することです。
[関連記事：従業員の注意散漫が増加傾向にあります――デジタル・エンプロイー・エクスペリエンス（DEX）プラットフォームが解決策となります]
DEXプログラムで知られるようになった企業は、競合他社から優秀な人材を引き抜くことができるほか、あるいは、現在の従業員が技術的な障壁がないことを理解していれば、社内から人材を採用することも可能になるかもしれません。
DEXの普及は比較的最近始まった動きであるため、ISACAの調査にはDEXに関する具体的な質問は含まれていませんでしたが、ブラント氏によると、同協会ではDEXがどのような影響を及ぼす可能性があるかを把握するための調査を進めているとのことです。 導入方法は企業によって異なるため、比較は難しいですが、職場でのテクノロジーの利用を円滑にするものは、士気を高め、セキュリティを向上させることにつながるのは間違いありません。
ブラント氏は、サイバーセキュリティの手順やシステムについて、「認めたくなくても、それは」抵抗が最も少ない道を探している一部の従業員にとっては「不便なもの」だと述べています。
従業員は、 のパスワードを定期的に変更することを怠ったり、 、セキュリティ手順を回避するための抜け道を探したり、より便利だと感じる無許可のデバイスを使用したりすることがあります。。 テクノロジーの利用をより容易にするDEXへの重点的な取り組みは、こうした行動を減らす可能性があるでしょう。
[関連記事：従業員がサイバーセキュリティポリシーに違反する理由――それは皆さんが思っているようなことではありません]
ブラント氏は、今後数年間で重要な話題となるのは、数多くの空いているエントリーレベルの職を埋めるための取り組みになると予測しています。 ミッドアトランティック・コリドーなどのコストの高い地域から離れた地域にある企業は、求められる資格要件を緩和する代わりに、より低い初任給で候補者を惹きつけることができるかもしれません。
「誰にでも、どこからか始めなければならない時があるものです」とブラント氏は言います。
