CISOのバーンアウトの主な原因 は、カンファレンスやメディアでかなり取り上げられています。例えば、 最新のサイバーセキュリティ脅威、 予算削減、あるいは組織の安全を確保することに対する取締役会からの圧力の高まり といった問題ですが、長年にわたり存在し、かつ増大しているストレス要因の一つが、依然として注目されていません。それは、自然減によってスタッフの相当数を失ってしまうことです。
の最高情報セキュリティ責任者（CISO）にとって、人材の補充はそれだけでも十分な課題となり得ます。特に、ストレスの多いこの業界では人材不足が深刻化していることを考えると、なおさらです。 しかし、スタッフの離職は、セキュリティ責任者、企業の経営陣、取締役会メンバー、およびサイバーセキュリティの監督責任を負うその他すべての関係者にとって、一見するとあまり目立たないかもしれない別の問題を引き起こす可能性があります。
「単に従業員を補充するだけではありません。その従業員が去ることで失われてしまう信頼、専門知識、そして状況認識を再構築することこそが重要なのです」と、ニアショアソフトウェア開発企業であるBairesDevのCISO、パブロ・リボルディ氏は述べています。
「脅威の状況が急速に変化する中、有能な従業員を失うことは、企業のセキュリティの安定性や成長の基盤を損なう恐れがあります」と彼は述べています。 「場合によっては、人員の入れ替わりが、システムの設定ミスや脆弱性の見落とし、あるいは脅威の検知遅延といったリスクをさらに高めることさえあります。」
そして、サイバーセキュリティを脅かすのは、 の脅威インテリジェンスチーム（、 ）のような第一線の担当者の不在だけではありません。 不安定さは、上層部の入れ替わりにも起因しています。具体的には、最高財務責任者（CFO）、最高情報責任者（CIO）、最高技術責任者（CTO）といった上級幹部や、組織の安全確保において重要な役割を果たす可能性のある事業部門の責任者などが挙げられます。
CISOは、他の経営幹部を引き留めるためにできることに限りがあるかもしれませんが、 や といった取り組みを通じて、セキュリティチームの将来的な交代に備えるための準備を進めることは可能です。 また、業界の統計が示すように、離職率は当面の間、改善する見込みは薄いようです。
なぜ今、セキュリティチームの離職率に注目すべきなのか
人材に関する統計は驚くべきものです。調査会社IANS Researchとエグゼクティブサーチ会社Articoが2月に発表した『 2025 サイバーセキュリティ人材報酬ベンチマークレポート』によると、米国とカナダで調査対象となった500 名以上のサイバーセキュリティ専門家のうち、約60％が転職を検討していると回答しました。
「単に従業員を補充するだけでは不十分です。その従業員と共に失われてしまう信頼、専門知識、そして状況認識を再構築することが重要なのです。」パブロ・リボルディ氏、BairesDev 最高情報セキュリティ責任者（CISO）
回答者のうち、勤務先を他人に勧めると答えたのは3分の1にとどまり、昇進の機会に満足していると答えた人は 40％未満でした。 同報告書によると、現在の職に留まるかどうかの判断において、報酬は依然として重要な要素ではありますが、新しいスキルを身につけたり、組織内でキャリアアップしたりできるかどうかの方が、従業員の定着率に大きな影響を与えるとのことです。
また、CISOにとっては、手元にいる有能な人材を一人でも失う余裕などほとんどありません。 サイバーセキュリティ専門家団体 ISC2 が発表した「第2024 回サイバーセキュリティ人材調査」によると、世界中の現役人材の規模は、前年からわずか0.1％増加したにとどまったことが明らかになりました。 The size of the workforce gap was 4.8 million worldwide, up 19% from the year earlier. And the total workforce needed to satisfy demand was 10.2 million, up 8.1%.
「主要な人材の頻繁な入れ替わりは、組織のノウハウに空白を生じさせ、インシデントへの対応時間を遅らせ、戦略的取り組みの実施を遅らせる恐れがあります」とリボルディ氏は述べています。
[関連記事：CISOが辞めたらどうなるのでしょうか？] 【これら 5 の事業承継計画により、組織の安全性が確保されます】
（）、Focal Point（）、では、CISOの交代への対応方法から、当サイトの「CISO Success Story（）」シリーズで紹介されているセキュリティ責任者たちが実践している具体的な戦略に至るまで、セキュリティ部門を円滑に運営するためのさまざまな方法を模索してまいりました。 セキュリティチームの離職率上昇による負担増に対処するためのヒントを得るため、CISOやその他の専門家を対象に調査を行いました。 ここでは、考慮すべき6つのベストプラクティスをご紹介します。
1. 体系的なナレッジマネジメントのプロセスを構築する
時には、より大きな問題は、会社を去る人々そのものというよりは、彼らと共に失われてしまう知識の方にあるのです。
「CISOは、重要なセキュリティ機能を積極的に整理し……社内での相互研修や、すぐに活用できる外部人材のパイプラインを通じて、そのカバー範囲を確保すべきです。」コヴナント・テクノロジーズ社 CEO ケイシー・マルケット
セキュリティ手順、システム構成、および のインシデント対応プレイブックを文書化すること（ ）により、重要な知識が退職する社員とともに持ち出されることを防ぐことができると、リボルディ氏は述べています。
「一元化され、定期的に更新されるナレッジベースがあれば、円滑な引継ぎが可能となり、残ったチームメンバーも必要な時に自信を持って業務を引き継ぐことができます」と彼は述べています。 「あらゆることを記録しておくことが大切です。一度起きたことは、また起きる可能性が十分にあるからです。」
[関連記事：バークレイズのCISOが規制当局とどのように対応しているか]
ITおよびサイバーセキュリティ分野の人材派遣・採用サービスを提供するCovenant Technologies社のCEO、ケイシー・マルケット氏は、スキルマップを作成することが、企業の離職問題への対応に役立つとアドバイスしています。 「CISOは、重要なセキュリティ機能――[例えば]インシデント対応、ID管理、 のクラウドセキュリティ――を積極的に洗い出し、社内の相互研修や、すぐに活用できる外部人材のパイプラインを通じて、それらの機能を確実にカバーできるようにすべきです。」 「計画を立てていない組織は、主要な人材が予期せず離職した際、貴重な時間を失うだけでなく――「多くの場合、可視性も失う」と彼は述べています。
2。 クロストレーニングと職務の冗長化に投資しましょう
リボルディ氏は、組織としては、セキュリティチームのメンバーが互いの職務をカバーできるよう、クロストレーニングを実施する必要があるという点に同意しています。 「これにより、チームの柔軟性が高まるだけでなく、誰かが退職した際の業務への支障も軽減されます」と彼は述べています。
「セキュリティ部門内の複数の役割についてチームメンバーが理解するよう促すことで、業務の継続性が確保されます。」Anthony Nyberg、サウスカロライナ大学ダーラ・ムーア・スクール・オブ・ビジネスの経営幹部後継センター所長
役割の冗長性は、急な移行時であっても、重要な能力を維持するのに役立ちます。
「セキュリティ部門内の複数の役割について、チームメンバーが理解するよう促すことは、業務の継続性を確保することにつながります」と、サウスカロライナ大学ダーラ・ムーア・ビジネススクールの経営幹部後継者育成センター所長、アンソニー・ナイバーグ氏は述べています。
3。 明確なコミュニケーションの手段を確立する
「率直なコミュニケーションは信頼を築き、より円滑な移行を可能にする」とニーバーグ氏は付け加えています。
「セキュリティ計画の継続的な評価と適応が行われ、それが経営幹部レベルおよびCISOの職務範囲内の複数の役割を担う関係者によって理解されていれば、組織全体として、変化し続ける脅威や人員の異動に対して、より万全な備えができるようになります。」
のように、CISOはCEO や取締役会に対して自社のニーズを明確に伝える必要があるのと同様に、スタッフに対しても、なぜその業務を求められているのか、そしてどのような成果が期待されているのかを伝える必要があります。 従業員は、自組織のセキュリティ強化に役立つ有意義な仕事をしていると実感できる必要があります。また、 チームの一員であると感じられることも大切です。。 互いに業務をカバーし合っているスタッフは、最終的には、直線的なキャリアアップや非直線的なキャリアアップのいずれにおいても役立つ新たなスキルを身につけています。
[関連記事：IT担当者がサイバー攻撃の標的となっている現代において、明確なコミュニケーションは不可欠です――ヘルプデスクの地獄へようこそ]
コミュニケーションとは、聞くことでもあります。 CISOは、業務の流れがどのように進んでいるか、また手順をどのように改善できるかについて、スタッフからフィードバックを得るために、定期的に確認を行う必要があります。
4。 徹底した離職手続きのガイドラインを策定する
リボルディ氏によると、組織は、企業情報の回収や手順、アクセス資格情報の無効化、特権アカウントの監査、アクセスログの確認などを盛り込んだ、包括的な離職時のチェックリストを作成する必要があるとのことです。 「これは、 のデータ漏洩 や、退職後の不正アクセスを防ぐ上で極めて重要です。」
マルケット氏によると、警備員はしばしば特権的なアクセス権限を持っているとのことです。 「離職手続きには、すべてのシステムにおける認証情報の無効化を含める必要があります。」
5。 外部パートナーシップを活用する
グローバルなテクノロジー調査・コンサルティング企業ISGのサイバーセキュリティ部門責任者であるダグ・セイラーズ氏は、企業は高度なスキルを要する業務を補完するためにアウトソーシングを検討すると同時に、汎用的な業務をその分野に長けた組織に移管することを検討すべきだと述べています。
「サービスプロバイダーは人材のローテーションが得意で、必要な時には…豊富な人材とアイデアを提供してくれます。」Doug Saylors、サイバーセキュリティ部門リード、ISG
「サービスプロバイダーは人材のローテーションが得意であり、サービス品質を確保するための契約上の仕組みを整えています」とセイラーズ氏は述べています。 「これにより、社内のチームはより付加価値の高い業務に集中できるほか、必要に応じて豊富なリソースやアイデアを活用できるようになります。」
[関連記事：リモート勤務のITスタッフを採用する際は？ [ディープフェイク詐欺にご注意ください]
6。 経営幹部による機密データへのアクセス状況を評価する
もしCEOや、CFO、CIO、CMO、CHRO、あるいはその他の経営幹部が辞任したらどうなるでしょうか？ こうした人々は、サイバーセキュリティ関連のデータを含め、社内で最も機密性の高いデータへのアクセス権限を、しばしば特別に付与されている方々です。
CISOは、これらの幹部が会社を去る際に、そうしたデータが一切持ち出されないよう確実に確認する必要があります。 これは、 のアイデンティティ・アクセス管理（IAM）の重要な要素であり、CISOが、どの経営幹部がどのレベルのアクセス権限を持ち、どのようなプロジェクトに携わっていたかを確実に把握できるようにするためのものです。 その幹部が在職中にその知識を習得しておけば、その人物が退職した際に、セキュリティ責任者が後手後手に回ることにはなりません。
これにより、CISOの肩にはさらなる重責がのしかかります。CISOは、経営幹部の交代が予定されている場合、セキュリティ責任者にその情報を事前に伝える必要性をCEOや取締役会に説明しなければなりません。そうすることで、実際に退任が起きた際に万全の準備を整え、堅固な離職手続きなどの適切な措置を講じることができるようになります。
