米国の主要なサイバーセキュリティ機関の長であるジェン・イースターリー氏による最近のツイートは、単なる積極的な人材募集活動にとどまらず、政府が緊急に支援を必要としていることを示すシグナルでもあります。
「私たちのチームに加わってください」と、 の投稿（ ）は、大音量のロック音楽をバックに力強く訴えています。 「あなたが欠けていたピースです」と表示されると、ルービックキューブの最後のピースがはまり込み、彼女の所属するエージェンシーのロゴが現れました。 サイバーセキュリティ・インフラセキュリティ庁（CISA）の局長であるイースタリー氏（@CISAJen）は、ツイートの中で、もし自分の好奇心と「パズルへの情熱」がなかったら、今のキャリアを見つけることはできなかったかもしれないと述べています。
政府には、彼女のような人材が切実に求められています。 商務省傘下のサイバー人材採用プロジェクト「 」の「CyberSeek」（ ）が収集したのデータによると、公共部門のサイバーセキュリティ関連の求人で、まだ埋まっていないものが 36,000 件以上あるとのことです。 この夏、国土安全保障省は、同省だけで約 1,700 件の求人 を埋める必要があると推計しました。
民間企業では以前から技術スキルの不足が問題となってきましたが、政府機関における人材不足が深刻化していることは、バイデン政権が注力しているサイバーセキュリティ強化キャンペーン「 」（ ）や、国家の安全保障の健全性にとってリスクとなっています。 この問題は、 11月3日 において、政権が広範囲にわたる「 」サイバーセキュリティ指令（）を発出し、ほぼすべての連邦機関に対し、連邦ネットワークへの侵入や損害をもたらす重大なリスクとみなされる数百もの脆弱性に対するパッチ適用を命じたことで、さらに緊急性を帯びることとなりました。
「5年前、成功を収めるためには、米国政府に数万人の新たなサイバーセキュリティ専門家を補充する必要があることはわかっていました」と、オバマ政権時代のホワイトハウスでサイバーセキュリティ担当上級ディレクターを務めたアリ・シュワルツ氏は述べています。 「離職率が依然として高いため、米国政府には必要な人材がまったく不足しているという危機的な状況に陥りつつあります」と、法律サービスおよびビジネスコンサルティング会社であるベナブル（Venable）のサイバーセキュリティサービス担当マネージング・ディレクター、シュワルツ氏は述べています。
政府は、セキュリティ技術者の採用と定着を図る上で、複数の課題に直面しています。 こうした課題――給与、資金、資源、そして職場環境――は、政府に限ったことではありません。 パンデミックの長期化に伴い、仕事を辞める傾向が強まっている労働力 の中で、彼らはますます頑なになってきています 。 In August, a record
4.3 million American employees left their jobs, and there are now almost 465,000 unfilled private and public cybersecurity jobs around the country, according to CyberSeek.
上限
政府が、サイバーセキュリティに精通した専門家を採用する際に直面する最も一般的な課題は、報酬の問題です。 サイバー脅威検知サービスを提供するNetenrich社のサイバーセキュリティ専門家、ジョン・バンベネック氏によると、IT専門家は、公共部門に比べて民間部門で最大 50％高い給与を得ることができるとのことです。
公共部門では、業績が優秀な職員であっても給与に上限が設けられていることがよくありますが、民間企業では（当然ながら）そのようなことはありません。 政府の仕事では、「いずれは政治任用者にならなければならない段階に到達する」と彼は言います。
「離職率が依然として高いため、私たちは危機的な状況に直面しています。」オバマ政権時代のホワイトハウスでサイバーセキュリティ担当上級ディレクターを務めたアリ・シュワルツ氏
州レベルでは、給与の問題はさらに深刻なものとなる可能性があります。 CyberSeekによると、昨夏、各州では 9,000 件のサイバーセキュリティ関連の求人枠を埋める必要がありました。 昨年、地方自治体や州政府のサイバーセキュリティ担当職員の平均年収は約95,412ドルで、連邦政府の給与よりも約25,000 ドル低い水準でした。
「政府を離れて民間企業に転職するほうが、単に経済的に有利だという現実に対処するには、ある程度の独創的な発想が必要になるでしょう」とバンベネク氏は述べています。
非営利の研究コンサルティング機関であるランド社のシニアサイバーセキュリティ研究員、クエンティン・ホジソン氏によると、政府を離れるという決断は、多くの場合、職員が「もう限界だ」と感じたことが原因であるとのことです。 彼によると、主な不満の一つは、資源や資金に関するものだといいます。
目まぐるしく変化するテクノロジーの世界では、取り残されてしまうのは至極容易なことです。 資金の制約やリソースの調達遅れは、システムの陳腐化を急速に招く恐れがあります。 民間企業において強固なサイバー防衛体制を構築する上で、ますます重要性を増している分野の一つが、 （DevSecOps）, という新たな取り組みです。これは、ソフトウェア開発プロジェクトの初期段階からセキュリティチームを参画させる戦略です。 その結果、プロジェクトがあまりに進んでしまう前に、ネットワーク上の潜在的な脆弱性を発見することができるようになります。 専門家によると、政府のサイバーセキュリティ分野では、この手法の導入が大幅に遅れているとのことです。
[関連記事：ハイブリッドワーク環境下でセキュリティ運用を成功させる 4 の簡単な方法]
サイバーセキュリティへの投資不足により、政府機関がハッキング被害に遭ったり、機密データが漏洩したり、ネットワークが停止したりするリスクが高まっています。 地方自治体 の各機関は の脅威にさらされており、 2020 国際市・郡管理協会（ICMA）の調査によると、約 25% の機関が 毎時間何らかの侵入試みが発生していると回答し、 14% が毎日試みがあると報告しています。
「人々は、官僚主義や手続き、そしてリソースの不足に苛立ちを感じています」とホジソン氏は述べています。 「彼らは、仕事を遂行するために必要なリソースが十分に提供されていないと感じています。」 そして、彼らは、サイバーセキュリティの専門家であるあなたを、 何か問題が起きるまでは誰も無視していると感じています。 そして、問題が起きると、皆があなたに詰め寄って、「なぜそうなったのか」と問い詰めてくるのです。
燃え尽きてしまいました
多くの公共部門のサイバーセキュリティ従事者が、 燃え尽き症候群に陥っています。 「人々が辞める理由を振り返ってみると、歴史的に見て、それは概してバーンアウトと関連付けられてきました」と、オバマ前大統領のサイバーセキュリティ担当特別補佐官を務めたJ・マイケル・ダニエル氏は述べています。 「パンデミック下でサイバーセキュリティに携わっている方にとっては、リモートワークやハイブリッド型勤務のニーズが高まっているため、状況はさらに悪化している可能性が高いでしょう。」
さらに、煩雑な採用プロセスが事態をさらに悪化させています。 連邦政府はしばしば徹底的な身元調査を行いますが、民間企業ではこうした調査が義務付けられているケースがほとんどないことを考えると、この慣行は労働者の意欲を削ぐ可能性があります。 さらに、応募者に薬物使用歴がある場合、たとえ高校や大学時代の些細なものであっても、通常、政府機関での勤務は認められません。
業界の専門家たちはまた、 の若手人材 を、これまでとは異なる視点で捉える必要性を指摘しています。 現在、非営利のサイバーセキュリティ団体「サイバー・スレット・アライアンス」の会長兼最高経営責任者（CEO）を務めるダニエル氏は、教育に関する要求の中には不必要なものもあると述べています。
「私たちは、人々を遠ざけてしまうような恣意的な要件を課しているのでしょうか？」 と彼は言います。 「修士号が必要ないのに、修士号の取得を義務付けているのですか？」
この特定の問題を踏まえ、アレハンドロ・マイオルカス国土安全保障省（DHS）長官は、「オナーズ・プログラム」を立ち上げました。このプログラムには、サイバーセキュリティ関連分野の学位を取得した新卒者を対象に、1年間の専門能力開発コースへ参加してもらう取り組みが含まれています。 本プログラムを修了された方は、同省におけるサイバーセキュリティ分野の常勤職への採用対象となります。
[関連記事：社会貢献のためのサイバーセキュリティ――NPowerが業界に多様性と機会をもたらす取り組み]
北京で国防当局者として勤務した元空軍准将のロバート・スポルディング氏は、B-2ステルス爆撃機で時代遅れのシステムを使い続けることに嫌気がさし、軍を退役したと述べています。 同氏は、サイバーセキュリティや防衛技術の分野において、政府の人材やインフラが不足しており、危機的な状況にあると指摘しています。
「私たちは危機的状況にあるだけでなく、すでにしばらくの間、危機的状況が続いており、改革の兆しは全く見られません」と彼は述べています。
この問題に対処するため、スポルディング氏は、政府が兵器への防衛費を削減し、その代わりにインフラ、製造業、テクノロジー、および のSTEM教育への投資と人材確保に注力すべきだと考えています。。
民間からの支援
政府がIT人材の確保やサイバー防衛体制の整備において直面する課題が深刻化するにつれ、政府機関向けの民間サイバーセキュリティサービスが盛んになっています。 「民間セクターは、政府のためにほぼすべての業務を担っています」とシュワルツ氏は述べています。具体的には、サイバーセキュリティ関連の製品と人材の両方を提供しているのです。 そして、こうしたベンチャー企業は、元政府のIT職員や、かつては公共部門でのキャリアを考えたこともあったかもしれないIT系の卒業生たちによって運営されている、と彼は述べています。
データ変革の専門家であるケン・ボドナー氏によると、民間企業は、侵入テスト、ハードウェアのセキュリティ監査、ソフトウェアのパッチ適用状況の監査、決済ゲートウェイのセキュリティ、および認証・データ暗号化サービスといった基本的なサイバーセキュリティサービスを提供しているとのことです。
「少なくとも、ほとんどの連邦機関では、ファイアウォール、ネットワーク管理、電子メールのフィルタリング、監視といった民間企業の技術やツールを活用しています」と、元サイバーセキュリティ担当責任者のダニエル氏は述べています。 「各機関によって異なるのは、社内要員、契約社員、および外部委託によるサイバーセキュリティサービスの構成比率です。」 「規模が大きく、技術力のある代理店ほど、社内で対応する業務の割合が高くなります。」
[関連記事：サイバーセキュリティを向上させるためには、連邦政府機関はまずITの近代化を進めるべきです]
民間サービスやツールは、政府のネットワークセキュリティが堅牢であり、脅威を先制的に検知する機能を備えていることを確保すべきです。 例えば、これらのツールにより、各機関は自組織のネットワーク 、、資産インベントリ、 を整理・管理できるようになり、機密データがどこに保存されているかを正確に把握できるようになります。 また、 のゼロトラスト対策 を実施し、理想的には の脅威ハンティング プラットフォームを提供するとともに、 の自動パッチ管理 および のソフトウェア監視 を実装すべきです。
実際、公共部門では特に多い、煩雑な業務の自動化は、政府機関が直面している重要な課題の一つです。 民間部門は絶えず資源を投入し、収益の損失につながる非効率性を削減するよう自らを奮い立たせている一方で、公共部門は同じ目標に向かって進んでいません。 その代わりに、その原動力となっているのは、デジタルトランスフォーメーション、構成員の満足度、そして国家安全保障です。
自動化が進んでいないことも、公共部門のサイバーセキュリティ関連の求人が埋まりにくい理由の一つとなっています。 公務員が行っている手作業の業務には、民間企業の従業員が行っていないようなものが数十件あります。 これには、複数のオペレーティングシステムにわたって手動でパッチを適用すること、すべてのエンドポイントにわたってコンプライアンス規則を作成・適用すること、複数の旧式のレガシーツールを使用すること、そして迅速な意思決定に役立つよう、それらすべてのデータを手動で統合することが含まれます。
暗号化された未来
ボドナー氏によると、暗号化はテクノロジー企業にとって、公共部門における次のフロンティアとなるでしょう。 開発分野としては、 の準同型暗号（暗号化されたデータを復号することなく変更を可能にする技術）、ゼロ知識証明（ある当事者が、いかなる情報も伝達することなく、ある主張が真実であることを別の当事者に証明できる技術）、および eIDV （電子身元確認）などがあり、これらは公的および私的なデータソースを活用して個人を照合するものです。
一方、スポルディング氏は現在、政府機関向けに暗号化された防衛技術ソリューションを提供するベンチャー企業の設立を進めています。
[関連記事：コロニアル・パイプラインへのサイバー攻撃は、アメリカ国民が求めていること――政府がサイバーセキュリティを最優先にすること――を浮き彫りにしています]
全米各地で、職務内容や職位が異なるサイバーセキュリティ関連の公的職種の空きポストが、依然として埋まらないままとなっています。 専門家によると、政府は人材の確保を促進し、サイバーセキュリティ能力を向上させ、この分野の革新に遅れを取らないためには、使命感を持って取り組む必要があるとのことです。 ダニエル氏は、上級職において、公共部門のサイバーセキュリティ関連の仕事は民間企業での仕事よりもやりがいを感じられる場合があり、政府はその点を活かすべきだと述べています。
「政策の成果を直接左右したり、国際交渉などに参加したりする能力があるのです」と彼は言います。 「民間企業では、必ずしもそれが得られるとは限りません。」
最後に、シアトル市の元CISOであるマイケル・ハミルトン氏に一言お聞きしたいと思います。 「地方自治体はトイレの水を流したり、水を飲めるようにしたりしていますが、サイバー攻撃者なら、そうした機能を簡単に停止させてしまうことができます」と、ハミルトン氏は述べています。同氏は、 のサイバーセキュリティを学ぶ学生たち を地方自治体と結びつける「公共インフラセキュリティ・サイバー教育システム（PISCES）」プロジェクトの創設者です。 「これらは極めて重要なサイバー関連の職種ですが、給与が他社と比べて魅力的でないため、多くの人がこうした仕事から締め出されてしまっています。」
