3月、Troy Stairwaltはウィスコンシン州のCISOを辞任しました。州のサイバーセキュリティ隔年予算要求が立法審査に必要な支持を得られず、複数のサイバーセキュリティプログラムへの連邦資金が削減されたためです。
5月下旬の時点では、州の行政局の広報担当者によると、同局は近いうちにその職を埋めることを望んでいるものの、最高情報セキュリティ責任者の後任はまだ採用されていませんでした。
このようなサイバーセキュリティリーダーシップの空白は、たとえ短期間であっても、おそらくあなたが思う以上に一般的です。特に、CISOの平均在任期間は18–26ヶ月と推定されており、2023レポートによると、他のC-suiteの役職の平均4.9年をはるかに下回っています。
過去2年間で急激に増加した新たな規制上の義務とコンプライアンスの負担が、その職務在任期間にどのような影響を与えたかは依然として不明です。 しかし、一つだけ確かなことがある：CISOの離任はいつでも起こり得るため、企業はセキュリティ面で舵取りを失い、さまざまな脅威に対してより脆弱になる可能性があり、最終的にはCISOの後継者計画があらゆる組織にとって不可欠となる。
エグゼクティブサーチ会社のHeidrick & Strugglesは、2024 グローバル最高情報セキュリティ責任者組織・報酬調査において、夏季に世界中で調査した416人のCISOのうち、わずか半数未満（47%）が、CISOが突然退任した場合に備えた適切な内部後継者を確保していないことを明らかにした。これは、トップサイバーセキュリティ人材をめぐる競争的な市場を考慮すると、非常にコストのかかる問題となり得る。2024
「不意を突かれないようにしてください」と、テクノロジー、会計、その他のビジネスサービスを提供するWarren Averettのリスクアドバイザリー部門リーダー、Paul Perryは述べている。 「もし彼らが宝くじに当選して、翌日仕事に来なかったら？」
CISOの後継者計画：コンプライアンスの高まりと新規制への答え
宝くじの当選は別として、CISOの離職にはいくつかの要因が考えられます。たとえば、職務範囲の拡大や、それに伴う多くのストレス要因などです。
"不意を突かれないようにしてください。"ポール・ペリー、リスクアドバイザリー部門リーダー、Warren Averett
多くのサイバーセキュリティ責任者は現在、人工知能リスク管理、データガバナンス、セキュリティチームの戦略的計画などの新たな責務を担うとともに、増加するデータプライバシー規制やコンプライアンス要件にも対応し続けなければならない。 例えば、SECの新しい標準化されたサイバー開示規則がある。
2023に可決され、2023末から2024末にかけて施行されるこれらの規則は、サイバーセキュリティインシデントが重大であると判断してから4営業日以内に重大なサイバーセキュリティインシデントを開示すること、およびサイバーセキュリティのリスク管理、戦略、ガバナンスを年次開示することを義務付けています。 これは、CISOが適切な申請を期限内に行い、組織のコンプライアンスを維持するために必要な評価を実施することを確保しなければならないことを意味します。 新しい形のAIと自動化を全体的なセキュリティメカニズムに組み込もうとしている時期に、それは余分な負担となっています。
[関連記事：CISOサクセスストーリー – 侵害からビジネス戦略へと進化する]
同時に、CISOはますます取締役会に報告し、関与することが期待されています。 これにより、脅威への認識の向上やセキュリティプログラムへの資金調達などのメリットをもたらす一方で、取締役会が技術的な知識を欠いている場合にはコミュニケーションの課題が生じる可能性もあります。
プレッシャーポイント：CISOの後継者計画がストレスを軽減できる理由（少なくとも取締役会にとって）
CISOの業務量の増加と、企業のセキュリティ確保に対するプレッシャーの高まりが相まって、燃え尽き症候群や辞職につながる可能性があります。
「進化するサイバー脅威への防御に対する絶え間ないプレッシャーが、CISOの深刻なストレスや燃え尽き症候群の一因となっている」と、サウスカロライナ大学ダーラ・ムーア・スクール・オブ・ビジネスの経営幹部継承センター所長、Anthony Nybergは述べている。
「Cスイートの役職はすべて非常にストレスが多いですが、CISOには何か問題が起きた際に実質的により多くのリアルタイムの苦痛を伴う、より直接的な課題があるかもしれません」とNyberg氏は言います。 「深夜の緊急電話の数は、他のほとんどの役職よりもCISOの方が多いかもしれません。」
CISOは、脅威に対してプロアクティブに防御しなければならず、問題が発生すれば責任を問われ、うまくいっても称賛をほとんど受けないという厳しい立場に置かれていると、Nyberg氏は述べています。 「自分の役割が悪いことを防ぐことである場合、うまくやったことを人々に示すのは難しい」と彼は言います。
[関連記事: 4 AIの時代におけるCISOの重要なリーダーシップの優先事項]
これらすべてを考えると、CISOがサイバーセキュリティの専門家向けに存在する巨大な市場機会の一つへと転職する理由が容易に理解できる。 そのため、企業はそれに備えておく必要がある。 CISOが離任する際にスムーズな移行を確保するために、組織は以下のベストプラクティスを検討すべきだ。
1. 正式な後継者計画を策定する
現CISOの潜在的な後任者を特定し、最善の移行方法を提案する正式な後継者計画を整備しておくことは不可欠だ。 Nyberg氏によると、よく構成された計画はリーダーシップの継続性を助け、セキュリティ運営への混乱を最小限に抑えるという。
"後継者計画が常に整備されていれば、リーダーは潜在的なCISOが最終的に効果的な役割を果たすために必要な追加トレーニングを特定できる。"Anthony Nyberg、サウスカロライナ大学ダーラ・ムーア・スクール・オブ・ビジネスの経営幹部後継センター所長
「多くの企業は、特に人材が役職に就いてまもない時期には、Cスイートの多くの役職に対して正式な後継者計画を持っていない」とNyberg氏は言う。 「CISOが他のポジションよりも短い期間しかその役職に就いていない場合、適切な後継者計画が間に合って整備されている可能性は低くなる。」
2。 社内候補者の特定とトレーニング
Nyberg氏によると、資格のあるCISOの後継者を迅速に見つけることは難しい場合があるという。 「これは多くのCスイートの役職で見られることです。必要な人材が単純に不足しており、これはサイバーセキュリティというこれほど急速に劇的に変化している分野では、さらに顕著である可能性が高いです」と彼は言う。
Nyberg氏によると、内部人材の育成に投資することで、組織の文化やシステムに精通した潜在的な後継者のパイプラインが生まれるという。 「これは後継者計画における重要な要素であり、CISOが離職するリスクを軽減するのに役立ちます」と彼は言う。 「後継者計画が常に整備されていれば、リーダーは潜在的なCISOが最終的に効果的に機能するために必要な追加トレーニングを特定できます。」
[関連記事：CISOはスマートなサイバー脅威インテリジェンスに依存しています – この簡略化されたガイドで進化する脅威を把握し続けましょう]
既存の従業員も計画に参加すべきです。経営陣は彼らにCISOになるために必要なスキルを理解させ、将来のCISO候補になるためにそれらのスキルを構築するよう促すことができます。
3。 副CISOを任命する
「実際に昇進を望むシニアサイバーセキュリティリーダーを見つけ、CISOとの話し合いの後、彼らを副CISOに任命し、経営幹部会議に参加させて経験を積ませるようにしてください」と、グローバルテクノロジーリサーチおよびアドバイザリー企業ISGのサイバーセキュリティプラクティスリードであるDoug Saylors氏は言う。
"実際に昇進を望むシニアサイバーセキュリティリーダーを見つけ、CISOとの話し合いの後…、経営幹部会議に参加させて経験を積ませるようにしてください。"Doug Saylors、サイバーセキュリティ部門リード、ISG
「これにより、従業員とリーダーシップチームがお互いを知ることができ、従業員が本当にCISOの役割に移行したいかどうかを判断できます」とSaylorsは言います。 「最も重要なのは、副CISOが実際にCISOになる準備ができたときに、適切なポジションが社内にない場合は、社外でポジションを見つける手助けをすることです。 それが忠誠心を育み、必要なときに戻ってくる可能性があります。」
CISOの役割に適した社内候補者がいない場合、企業は外部からCISOを採用しようとすることができます。おそらくパートタイムのコンサルタント的な形で。 また、バーチャルCISOを起用することもできます。これは、柔軟でリモート、かつ多くの場合契約ベースでCISOレベルのリーダーシップを提供するサイバーセキュリティの専門家です。
4。 取締役会と経営幹部を巻き込む
後継者計画にトップリーダーシップを関与させることは、サイバーセキュリティの戦略的重要性を強調し、組織の目標との整合性を確保するとNybergは言います。
[関連記事：取締役会メンバー向けサイバーセキュリティ対応チェックリスト]
「Cスイートの役割が戦略的に関与することが重要であることはわかっており、これはCEOがCISOを選ぶ際に、将来の課題が何であるかを戦略的に考える必要があることも意味します」とNybergは言います。
5。 現在のセキュリティ態勢を把握する
組織は、上級幹部および取締役会が会社の現在のサイバーセキュリティ態勢と存在するギャップを確実に理解できるようにする必要があると、Saylorsは述べています。
「ギャップが無視されることが多いのは、CISOが一般的に十分に文書化されておらず理解もされていない特別な措置を常に講じることで、物事を「安全」に保てるからです」とSaylorsは述べています。 「この場合、CISOの離任は組織を不必要にリスクにさらすことになります。 これらのトピックについて理解を深める形でCISOと月次ミーティングを行うことで、残りのチームメンバーや幹部は、CISOが予期せず離任した場合に何をすべきかを把握できます。」
結論：最近の統計によると、CISOの平均在職期間は約2年、場合によってはそれ以下です。 しかし、企業は慌てる必要はありません。これらのベストプラクティスに従うことで、組織は旧サイバーボスが離任する際にスムーズな移行ができるよう、パイプラインに新しいCISOを用意しておくことができます。