ペトラ・ヴクミロヴィッチさんは、物を直すのが好きです。 だからこそ、彼女は当初、救急科の医師になったのです。 しかし、パンデミックの最中、多くの人々が自分の人生の選択を見直していたこの時期、彼女は仕事において、もっと創造性を発揮したいと切望していました。
「自分の医療スキルがどこで最も活かせるかを考え、サイバーセキュリティにたどり着きました」とヴクミロヴィッチ氏は語ります。 彼女は現在、ロンドンに拠点を置くデジタルヘルスケア企業「Zava」で、シニアサイバーセキュリティエンジニアとして勤務しています。
「どちらの職種においても、トラブルシューティングや の調査作業が数多くあります」と、彼女は Endpointとのインタビューで語りました。 「私は物を直すのが好きで、テクノロジーこそがそれにぴったりの分野だと気づきました。」
サイバーセキュリティ人材の不足が深刻化している ため、業界は、 ランサムウェア やその他のサイバー攻撃の急増に対応するため、ヴクミロヴィッチ氏のような転職者をより多く求めることを余儀なくされています。 サイバーセキュリティ業界における人材不足は、かねてより厄介かつ差し迫った問題として挙げられてきましたが、この状況を受け、セキュリティおよびテクノロジーのリーダーたちは、人材不足を克服するために、従来とは異なる人材プールや戦略に目を向けるようになっています。 また、人材の供給源を確保するために、学位要件を撤廃し、従来の採用要件を見直しています。
「サイバーセキュリティ分野の人材不足を解消するためには、人材プールを拡大し、参入障壁を取り除く必要があります。そのためには、『技術第一』という考え方を改め、サイバーセキュリティの分野で成功するために必要な、優れた非技術的スキルを重視すべきです」と、研修機関「International Information System Security Certification Consortium（ISC）²」のCEO、クラール・ロッソ氏は述べています。 「サイバーセキュリティの専門家たちは、優れた問題解決能力、好奇心と学習意欲、優れたコミュニケーション能力、そして戦略的思考力が、資格や関連するサイバーセキュリティの実務経験と同等、あるいは[それ以上に]重要であると考えています。」
サイバーセキュリティ人材の確保を強化する
(ISC)² estimated in its latest annual workforce study that some 2.7 million additional cybersecurity workers are needed globally. 同団体によると、重要な資産を効果的に守るためには、世界のサイバーセキュリティ人材を 65％増やす必要があるとのことです。
「サイバーセキュリティの分野で成功するために必要な、優れた非技術的スキルを見極めることで、人材プールを拡大しなければなりません。」（ISC）²のCEO、クラール・ロッソ氏
が最近実施したデロイトの調査（ ）によると、サイバーセキュリティ人材をめぐる競争が依然として熾烈であることが改めて裏付けられています。特に米国では、調査対象となった経営幹部の31％が、自社ではサイバーセキュリティ人材の採用や定着にしばしば苦労していると回答しています。 米国以外の経営幹部のうち、同様の採用・人材定着の課題に直面していると回答した割合は、その約半分（16％）にとどまっています。
同様に、Taniumが実施した調査の回答者の3分の1が、社内のサイバーセキュリティスキル不足がセキュリティ運用における最大の課題であると回答しました。 この問題は、特に政府において深刻です。 のCISOでさえ、その数は少ないのです。 CyberSeek社は、こうした格差を可視化するために、米国を対象とした「 」というインタラクティブマップ（ ）を作成しました。
職場におけるニューロダイバーシティ
豊富な新たな人材源を確保するため、企業はサイバーセキュリティ分野において、自閉症、注意欠陥・多動性障害（ADHD）、ディスレクシアなどの状態を持つ「ニューロダイバーシティ」の人々を含め、従来とは異なるタイプの労働者をより多く採用することに注力しています。 研究者によると、ニューロダイバーシティを持つ従業員 は、ハイパーフォーカス、正確さ、粘り強さ、パターンを識別する能力といった特性により、サイバーリスクの評価や不審なオンライン活動の分析において、しばしば優れた能力を発揮するといいます。
コンサルティング会社のアーンスト・アンド・ヤングは、パンデミックの期間中、世界全体で神経多様性を持つ従業員の数を3倍以上に増やしました。 In 2021, EY created a neurodiverse team of 10 in Boston that focused on cybersecurity and other areas as part of its Neuro-Diverse Centers of Excellence. 2022年初頭時点で、同社には世界中で 300 名以上の神経多様性を持つ従業員が在籍していました。
もう一つの豊富な人材源として、技術、運用、セキュリティの分野で確かな実績を持つことが多い元軍関係者が挙げられます。 CISOは、既存のセキュリティ担当者の再教育を行うほか、IT担当者を採用し、サイバーセキュリティに関する研修を実施しています。 彼らは、 会計、監査、品質保証管理 といった多岐にわたる分野から知見を取り入れ、 女性 や 有色人種 といった、社会的に十分な機会を得られていないグループにも働きかけてきました。 彼らは時折、一見すると関係がないように見える分野から転身してきた、ヴクミロヴィッチのような人材を探し求めることがあります。
サイバーセキュリティの専門家のためのより広い受け皿を築く
サイバーセキュリティ業界は、 において、 のように、初級職に対する非現実的な要件について批判されてきました。 一部の雇用主は、取得に何年もかかる専門資格や高度な学位を依然として必須条件としているのです。 例えば、ある大手銀行が募集していた、比較的経験の浅いセキュリティオペレーションセンター（SOC）アナリストの求人では、学士号、高度な技術に関する4年以上の実務経験、および専門資格が求められていました。
(ISC)²は、『 』誌の「Endpoint」 に対し、サイバーセキュリティ分野への転職希望者や若手プロフェッショナルが、サイバーセキュリティのキャリアに必要な基礎的なスキルと資質を雇用主に証明できるよう支援することを目的とした、入門レベルのサイバーセキュリティ認定資格の試験運用を行っていると述べました。 この認定資格は、サイバーセキュリティのベストプラクティスに関する理解があることを証明する必要がある専門家の方々にも活用いただけます。 例えば、SECが、上場企業の取締役会にサイバーセキュリティに関する専門知識を有する人材を配置することを義務付ける の規制案（ ）を採択した場合、この認定制度によって取締役の知識レベルを確認することが可能となるでしょう。
雇用主が採用基準を拡大しているもう一つの方法は、従業員に現場での勤務を必須としなくなったことです。 これは、ハイブリッドワークの時代において、人材の採用と定着に関する重要な課題となっています。
社会貢献のキャリアとしてのサイバーセキュリティ
カリフォルニア大学バークレー校（UC Berkeley）の 長期サイバーセキュリティセンター（ ）のエグゼクティブ・ディレクターであるアン・クリーブランド氏は、世界に変化をもたらす方法を模索している若い労働者に対して、サイバーセキュリティ分野のキャリアをアピールできると述べています。 「サイバーセキュリティは、公共サービスや地域社会への貢献と密接に関連しています」と彼女は述べています。 「一般の方々が、この仕事を、どこか隅っこでパーカーを着たハッカーというステレオタイプではなく、ある意味では医療従事者に似た仕事だと捉えていただければ、助けになるでしょう。」 「それによって、この使命が、さまざまな人々の心に、より一層深く響くようになるのです。」
「［イメージとしては］、パーカーを着たハッカーというステレオタイプではなく、むしろ医療従事者のような存在だと考えてください。」カリフォルニア大学バークレー校 長期サイバーセキュリティセンター 事務局長、アン・クリーブランド氏
CTLCは、コンピュータサイエンス学科だけでなく、技術系以外の専攻の学生も巻き込んだ、大学を拠点とするクリニックの国際ネットワークの構築に取り組んでいます。これは、学生に使命感を植え付け、非営利団体やその他の社会貢献団体におけるサイバーセキュリティ関連の職に就けるよう支援することを目的としています。 「サイバーセキュリティは、より多様な分野の、より幅広い学生層にとって魅力的なものにする必要があります」とクリーブランド氏は述べています。
この分野の活動範囲をより多くの学術分野へと広げることは、「クライアントがより優れたサイバーセキュリティ対策や、さらには技術的な支援を受けられるようになることを意味します」と、クリーブランド氏は付け加えています。 「結果として、法科大学院や政策大学院、公衆衛生学部の学生など、これまでサイバーセキュリティを自分にとって興味深い進路とは考えたこともなかったような人々が集まるようになりました。」
レイチェル・コルネホさんは、CTLCの「シチズン・クリニック」を通じてサイバーセキュリティの研修を受けました。同クリニックは、公益を目的としたデジタルセキュリティの取り組みであると自認しています。 カリフォルニア大学バークレー校在学中、コルネホさんはジャーナリズムの道を志そうと考えていましたが、その後、アドボカシーや社会変革に取り組むことの方が自分には合っていることに気づきました。 その研修を活かし、卒業後はデロイトでサイバーセキュリティコンサルタントとしての職に就くことができました。
[関連記事：サイバーセキュリティ分野におけるジェンダー格差の解消が、私たちの安全を守ります]
人文・教養系の学生であるコルネホさんは、サイバーセキュリティの分野でのキャリアにおいて、自分が予想していたよりも技術的な専門知識がそれほど必要とされなかったことに、最も驚いたと語りました。 「ハッキングの背後には厳密な科学がありますが、それはサイバーセキュリティの一部に過ぎません」と彼女は言います。 「これは、実際にははるかに質的な分野なのです。」
コルネホさんは、リスクに関するインタビューを行う際、自身のソフトスキルを活用し、リスクの優先順位付けを行い、 のリスク評価書（）を作成しています。 「要するに、ハッカーの思考回路を読み解くことなんです」と彼女は言います。 「それは楽しくて、やりがいのあることですね。」
