パンデミックによるバーンアウトやストレスの影響で、 2021 では前年と比べてサイバーセキュリティ関連の求人で埋まらなかったポストが増えました。 また、 ロシアによるウクライナ侵攻 に関連して脅威レベルが引き上げられたことや、バイデン大統領が今週、 ロシアによるサイバー攻撃が「迫っている」と警告した ことに対応するため、近い将来、これらのポストに有能な専門家が配置される兆しは見られません。
そこで疑問が生じます。今日のサイバーセキュリティのリーダーたちは、いったいどこにいるのでしょうか？
「『グレート・リザイネーション』は、サイバーセキュリティ業界が長年にわたり直面してきた人材採用や定着に関する課題をさらに深刻化させています」と、ISACA（情報システム監査・統制協会）のプロフェッショナル・プラクティスおよびイノベーション担当ディレクター、ジョナサン・ブラント氏は述べています。 ある国際的なIT団体は本日、世界中の 2,000 名以上のサイバーセキュリティ専門家を対象とした、第8回年次調査「サイバーセキュリティの現状 」の結果を発表しました。
この厳しい調査結果は、それ自体がすべてを物語っています。 10 人の回答者のうち、6人以上が人手不足であると回答しました。 5人に1人が、採用にふさわしい応募者を見つけるのに6ヶ月以上かかると回答しました。
その結果、 のCyberSeek（）によると、米国ではサイバーセキュリティ関連の求人が 600,000 件近く未充足のままとなっています。 何千もの企業が、サイバー攻撃によるリスクにさらされています。 実際、昨年何らかのサイバー攻撃を受けたISACAの調査回答者の 69％が、人員不足であると回答しました。
サイバーセキュリティ分野におけるスキルギャップの評価
ISACAの調査回答者によると、サイバーセキュリティ分野のスキルギャップを埋めるための有能な人材を見つけることは困難であるとのことです。 回答者の半数強が、応募者にコミュニケーション能力、批判的思考力、問題解決能力といったソフトスキルが欠けていると指摘しました。 不足しているスキルとしては、クラウドコンピューティングが2番目に多く、次いでセキュリティ対策の導入、コーディング、ソフトウェア開発の順でした。
優秀な人材を見つけるのが難しい状況では、多くの企業がサイバーセキュリティの専門家を他社から引き抜くようになったのも無理はありません。 ほぼ 60％の企業が、専門職の従業員のほとんどが、他社から引き抜かれたことを理由に退職したと回答しました。 パンデミック期における退職の主な理由としては、他にも、金銭的なインセンティブの不足、昇進やキャリアアップの機会の限られさ、高い仕事のストレス、そして経営陣からの支援の欠如などが挙げられます。
昨年、一部の雇用主は従業員にオフィスへの復帰を迫りましたが、それが原因で、より多くの人が退職した可能性があります。 ISACAの報告によると、今年は前年よりも多くの回答者が、 リモートワークの選択肢が限られていること や、柔軟性に欠ける勤務方針を挙げました。 ISACAは、従業員がより良い勤務時間を求めて転職した場合、人手不足がさらに深刻化する可能性があると推測しています。一方、リモートワークを支援する企業は、有能な人材の確保において優位性を持つ可能性があります。
「雇用主と従業員の間には、大きな緊張関係があります」とブラント氏は述べています。 「私たちの課題は、自らが招いた自滅的な過ちなのです。」
そして、世代間の隔たりは、サイバーセキュリティのスキル不足をさらに深刻化させています。 「この新しい世代にとっては、給料だけがすべてではないのです」とブラント氏は付け加えます。 「私たちが目にしているのは、一日の終わりに、彼らは日常から切り離されたいと望んでいるということです。」 「彼らはバランスを求めているのです。」
サイバーセキュリティ分野の人材不足の解消
その結果、サイバーセキュリティ分野の人材不足を解消するため、企業は大学を卒業していない人々も対象に含めるなど、応募者の幅を広げています。 回答者のうち、現在大学卒業資格が必要だと答えたのはわずか 52％で、これは1年前より 6 パーセントポイント減少しています。 また、サイバーセキュリティに関心のある現従業員に対してクロストレーニングを実施している企業の割合は、 2％増加しました。 クロストレーニングのメリットの一つは、従業員がすでに会社やその運営方法についてある程度の知識を持っているという点です。
（）や、恵まれない地域社会に技術研修を提供するNPower（）、そしてサイバーセキュリティの人材と、サイバーセキュリティ関連の職を募集している企業をマッチングさせる Cybersecurity Talent Initiative（）といった非営利団体は、将来の人材パイプラインを充実させる上で重要な役割を果たしています。
職場の人手不足を補うためにコンサルタントや請負業者を採用した回答者の割合は、前年比で 5 ポイント増加しました。 Privacy and Security Brainiacs（ ）のCEOであるレベッカ・ヘロルド氏をはじめとする専門家たちは、最近、（ ）、、Endpoint（ ）に対し、外部の支援は、社内の従業員への研修も併せて行う場合に最も効果的であると述べました。
おそらく熟練した人材の不足が原因であるためか、ISACAの調査に対し、過去1年間に のサイバーリスク評価 を実施したと回答した回答者は、わずか41％にとどまりました。 頻繁な点検を行わない主な理由として挙げられたのは、回答者の 43％が挙げた「時間の不足」と、 40％が挙げた「訓練を受けた人材の不足」でした。 ISACAは、ハッカーが攻撃手法を急速に変えていくことを踏まえると、年に1回の評価で十分である可能性が高いと述べています。
[関連記事：サイバーリスクスコアは単なる数字以上のものあるべきです]
ブラント氏は、年1回のサイバーリスク評価が一般的であるようだと述べていますが、「それらのリスク評価の間隔を短縮したいという要望が高まっています」。 彼によると、評価というのは、しばしば「大げさな形式的な怪物」と見なされがちだそうです。 より頻繁な全体的な評価に代わる方法としては、 脅威ハンティング、不適切な慣行の排除、および基本的な サイバー衛生管理 の実施が挙げられます。
今日の課題が依然として続いているにもかかわらず、あるいはむしろその課題があるからこそ、ブラント氏は、ビジネスやテクノロジーのリーダーたちが学ぶべき重要な教訓があると信じています。 パンデミックとウクライナでの戦争は、「サプライチェーンのあらゆる部分が脆弱であり、あらゆるものが操作の対象となり得る」ということを明らかにしました。 そのことを踏まえて、彼は「より適切なリスク判断につながるはずだ」と述べています。
サイバーセキュリティ人材不足の解消に関するその他の情報
企業はサイバーセキュリティの人材不足を解消するために創意工夫を凝らしています
従業員がパンデミックによるストレスに対処するための3 の方法
従業員のエンゲージメントを高めるには、地域社会への貢献を心がけましょう