セキュリティ担当役員のテレサ・ペイトン氏が、以前のサイバーセキュリティ職に就いた際、最初に尋ねたことの一つは、組織における のパッチ管理作業の頻度についてでした。。 その答えは、彼女が聞きたかったものとは違っていました。 彼らはソフトウェアのパッチ適用を毎月行うだけであり、「ダウンタイムゼロ」の方針を掲げていました。
「胃が締め付けられるような感覚でした」と、彼女はその時のことを振り返りました。 チームは自分たちが正しいと思うことを行い、組織もそのプロセスに満足していましたが、業務を十分に安全に保つには、それだけでは不十分でした。 「ここでどうすればいいんだろう？」 彼女は不思議に思いました。 「未処理の更新リストを見せてください」と彼女は尋ねました。 未処理の案件は相当な量に上っていました。
結局のところ、ペイトン氏――ホワイトハウスの最高情報責任者（CIO）として初めて就任した女性であり、第 2006 代から第2008—sat 代大統領に至るまで、大統領およびそのスタッフのためのIT業務を統括していた――は、担当部長と共に、組織として他の可能性にも門戸を開いているかどうかを尋ねました。 彼らが今後どのように進めていくかを決定するかは、彼女のサイバーセキュリティ分野におけるリーダーシップの成否に多大な影響を及ぼすことになるでしょう。
新たに就任した最高情報セキュリティ責任者（CISO）にとって、就任後の最初の 90 日間は、危機と可能性が共存する時期です。 CISOが動きが速すぎたり、強引に推し進めすぎたりすると、組織から疎外されてしまうリスクがあります。 対応が遅すぎると、新たに就任したCISOは、その勢いや「ハネムーン期間」を無駄にしてしまう恐れがあります。 経験豊富なCISOたちが、『 』のフォーカルポイント担当 に対し、就任後の最初の数ヶ月をどのように乗り切ったかを語っています。 新しい役割をうまくこなすための方法をご紹介します。
内定を受ける前に、心の準備をしておきましょう
保険ソリューションプロバイダー「ReSource Pro」の情報セキュリティ担当シニアディレクター、デビッド・エルフェリング氏は、採用が決まる前に、その組織についてしっかりと把握しておくことをお勧めしています。 エルフェリング氏は、候補者に対し、その組織のビジネスモデルを正確に理解し、そのビジネス成果がサイバーセキュリティにどのように左右されるかを把握するよう助言しています。
また、CISO候補者は、組織の階層構造――CISOが誰に報告するのか、主要な役員、組織全体の財務状況、および従業員の離職率――についても理解しておく必要があります。 最後に、IT予算の総額はいくらで、そのうちの何パーセントがセキュリティに充てられているのでしょうか？
「企業は、あなたがほぼ全知全能とも言える視野を持って入社し、すぐに実力を発揮してくれることを期待しています」とエルフェリング氏は述べています。 「できるだけ万全の準備をしておきたいですね。」
現地に足を運びましょう
仕事始めて最初の1週間は、最も重要な時期の一つです。 「今週は現場での実務に注力する週です」と、現在セキュリティコンサルティング会社フォータリス・ソリューションズのCEOを務めるペイトン氏は述べています。 「そして、私はそれを『リスニング評価ツアー』と呼んでいます」と彼女は付け加えました。 初期段階は、情報収集に全力を注ぐ時期であり、CISOが今後このプログラムに関して必要とするあらゆる重要な詳細情報を聞き取る必要があります。 「すべての経営幹部と面談し、その要望に耳を傾ける必要があります」とペイトン氏は付け加えます。 「経営幹部の活躍を支えていなければ、自分の仕事を果たしているとは言えず、成功することもできないでしょう。」
「経営幹部を支援できていないのであれば、それは職務を全うしていないことになり、成功することはできないでしょう。」セキュリティコンサルティング会社「Fortalice Solutions」のCEO、テレサ・ペイトン氏
人事、法務、財務、業務の各部門の責任者、そして最終的にはCEOとお会いしたいとお考えですね。 ペイトン氏は、経営陣が「うまくいっている」と見なしている点について尋ねることを推奨しています。 「候補は少ないかもしれませんよ」と彼女は警告しています。 次に、何がうまくいっていないと思うか尋ねてみてください。 もっと長いリストになるかもしれませんので、ご覚悟ください。
また、これは信頼関係を築くための機会でもあります。 アトランタのノースサイド病院のCISOであるマーティン・フィッシャー氏は、次のような言葉をかけられることを推奨しています。「あなたの意見をお聞きしたいので、ここに座ってじっくりとお話を伺います。」
[関連記事：CISOがCEOに真剣に聞いてもらえるよう、サイバーリスクについてどう説明すべきか]
就任後 90 日以内にそうすれば、チームからの信頼を得られるだけでなく、その過程でいくつかの課題の解決にもつながるでしょう。 その間ずっと、彼はこう言います。「あなたは自分のプログラムを評価しているのです。」 現在、スタッフの評価を行っています。 「そして、御社では技術スタックの評価を行っているのですね。」
組織文化について学びましょう
リーダーシップの権威であるピーター・ドラッカー氏は、「文化は戦略を食いつくしてしまう」という有名な言葉を残しています。 フィッシャー氏は次のように説明しました。「つまり、優れたセキュリティ戦略を打ち出しても、それが組織の文化と合致していなければ、失敗に終わるということです。」
CISOが組織文化について議論する際、重要な関係は3つあります。それは、経営陣や事業責任者とのトップダウン型の関係、従業員やエンドユーザーとの関係、そしてセキュリティ担当スタッフとの関係です。 「この時期に提携関係を築くべきです。なぜなら、ビジネス成果を確実に確保するなど、双方にメリットがあるからです」とエルフェリング氏は述べています。 「しかし、それは組織の文化に沿った方法で進めなければなりません。」
[関連記事：パンデミックにより、CISOの役割は事業に不可欠なものとなりました。 その地位を維持するには、次のようにすればよいのです。]
新たに就任したCISOにとっては、組織がどのように意思決定を行っているかを理解し、すでに確立されているプロセスを尊重することが不可欠です。 「うちの組織はかなり厳格な階層制になっています。まあ、そういうものなんです」とフィッシャー氏は言います。 「もしリーダーとして尊敬されておらず、また、部下を大切にしていないのであれば、結局はあなたにとって悪い結果になってしまいます。」
組織のあらゆる階層において信頼を築いていく
フィッシャー氏によると、信頼を築くための第一のルールは、「嫌な奴にならないこと」だそうです。 実は、人々は新しい上司がひどい人だと予想しているのです。 「これは、あなたが嫌な人間ではないこと、チームや経営陣の意見に耳を傾けてきたこと、そして彼らの成功を支援する準備ができていることを証明する絶好の機会となります」と彼は言います。
仮に、新しく就任したCISOが、以前の助言に従い、既存のプログラム、既存のチーム、そして現在の技術スタックに耳を傾け、評価を行うとしましょう。 それなら、経営陣からの信頼を築く時が来たということです。
「もし機能不全があれば、チームに戻ってそれを修正することができます。」ReSource Proの情報セキュリティ担当シニアディレクター、デビッド・エルフェリング氏
エルフェリング氏は、人々がセキュリティチームをどのように見ているかを理解することを推奨しています。 これまで、彼らが何か面白いことをしようとした際、セキュリティチームはそれを阻止してきたのでしょうか？ 新任のCISOは、その関係をどのように修復すればよいのでしょうか？
「もし問題があれば、チームに戻ってそれを解決すればいいのです」と彼は言います。 「信頼を築きながら、ビジネスへの価値を示し、かつ、できるだけ早く価値を還元できることをアピールすることができます。」
経営陣からの信頼を築くことに加え、チームメンバーとは可能な限り良好な関係を築くことが不可欠です。 フィッシャー氏によると、その初期の段階では誰かがミスを犯してしまうだろうとのことです。 新たに就任するCISOには、過ちに対して公正に対応できることを示す機会があります。
変化を起こしましょう
就任後 90 日間の終盤を迎え、新しいセキュリティプログラムを構築するために何が必要かについて、全員が認識を一致させるべき時が来ました。 CISOたちは、チーム内での信頼を築いてきました。 人々は、自分の声が届いたと感じています。 彼らは、新しいプログラムを構築するプロセスの一翼を担っているかのように感じてきました。
「今こそ、新たなCISOが下すべき決断を下し始めるべき時です」とフィッシャー氏は述べています。 「そして、あなたはそれを自分のものにするのです。良いことも、悪いことも、あるいはどちらでもないことも。」
「これはあなたが下す決断です。」 これは議論ではありません。”アトランタのノースサイド病院のCISO、マーティン・フィッシャー氏
変更を行う際は、その変更がどのようにリスクを低減し、従業員の働き方を改善し、事業を向上させるのかについて、全員に周知してください。 ここで、「私がお話ししたい変更点は以下の通りです」とおっしゃってください。 「それらをどのように実施していくか、話し合いましょう。」
「それはあなたが下す決断です」とフィッシャー氏は言います。 「これは議論の余地はありません。」
成功度を比較・評価しましょう
取材に応じた経営陣の方々は、この段階での成功は、CISOがセキュリティチームや経営陣とどれほど強固な基盤を築き上げられたかにかかっていると述べました。 新任のCISOは、セキュリティチームがどれほど自分たちをしっかりとサポートしてくれるか、また経営陣からどれほどの信頼を築き上げているかを注視することになるでしょう。 成功の指標を達成できるかどうかは、導入したセキュリティ技術のビットやバイトの数といった要素よりも、むしろ、適切なビジネス成果を生み出せているかどうかにかかっています。
[関連記事：サイバー指標を有効に活用するには、経営陣に収益性を示すこと]
新たに就任したCISOは、自分が成功したかどうかをどのように判断すればよいのでしょうか？ メンターを選びましょう。 「面接の過程で、自分にとって最大の味方だと感じたビジネスユニットの担当者を指名するといいでしょう」とペイトン氏は述べています。 「あなたにとっての成功とはどのようなものか、自問してみてください。」 「この会社でこの役職において大成功を収めたいと伝え、自分の成功点や失敗点を率直に教えてくれる、信頼できる相談相手として協力をお願いしてください。」
ペイトンさんは、最終的にパッチ管理の課題をどのように解決したのでしょうか？ 彼女は最初の数ヶ月間、チームや経営陣の話に耳を傾け、IT資産、 の資産管理ソリューション、業務プロセス、そしてチームの文化について、できる限り理解を深めることに努めました。
ペイトン氏は、同組織の業務サイクルと技術スタックを把握することで、業務に支障をきたすことなく、パッチ適用サイクルを短縮する方法を見出すことができました。 「各グループにとって、1日や1週間の中で最も利用が集中する時間帯を把握し、その時間帯に合わせて更新のスケジュールを立てることができました」と彼女は説明します。 「もし私がやってきて、ただ『毎日パッチを適用する』と宣言しただけでは、決してうまくいかなかったでしょう。」
新しくCISOに就任された皆様、この賢明な助言をぜひ心に留めておいてください。 これらは、最初の 90 日間、あなたが最高の姿を見せられるようサポートしてくれます。
