今日の絶えず変化するサイバーセキュリティの脅威に対処するため、多くの企業の経営幹部はテクノロジーに注力し、ビジネスの各部門が孤立した状態の中で、ツールを次々と重ね、アプローチを次々と導入することになるでしょう。
For instance, electric utilities serving a collective 56 million customers have either installed tools to better detect cyberattacks or have pledged to do so. 実際、Enterprise Strategy Group（ESG）によると、 が調査した のITおよびビジネスの上級幹部60％が、IT支出の増加を計画しており、その最優先事項としてセキュリティを挙げています。
力強い対応は、素晴らしい第一歩です。 しかし、技術的なツールだけでは情報漏洩を防ぐことはできません。 今日の高度なハッカーたちは、そんな手には乗らないほど賢いのです。
大規模なセキュリティ侵害が発生した後、連邦政府の取り組みや企業のCEOたちが慌てて打ち出す対策において、しばしば見落とされがちなのは、企業が持つ最も効果的な武器の2つ、すなわち「現場の従業員」と「プロセス」を強化する取り組みです。
サイバー防衛を強化するためには、従業員にインシデント対応計画の策定方法を指導したり、「 」からのフィッシングメールに返信しないよう警告したりするだけでは不十分であり、さらなる取り組みを行うことが重要です。 これらは、リーダーが講じるべき数多くの施策の中でも、特に手っ取り早く成果が得られるものです。
人材とプロセスを適切に整えるためには、企業が自社の防衛のために頼りにしているセキュリティ専門家の有効性を阻害している障壁について、深く考察する必要があります。 もし誰かが絶えずセキュリティアラートに追われ、適切なスキルが不足していたり、組織の硬直性によって必要な対応ができなくなっていたりすれば、その企業は自社の防衛に成功する見込みは全くありません。
「人、プロセス、テクノロジー」という三本足の椅子のうち、最初の2つの要素を安定させるためには、企業は以下の3つの分野での取り組みに注力すべきです。
効率的に働く
史上最大規模のリモートワーク実験を経て、1年以上にわたり自社のセキュリティ確保に献身的に取り組んできたセキュリティ専門家たちは、 記録的なレベルのバーンアウトに陥りつつあります。 「この1年間、人的な犠牲は甚大でした」と、アトランタのノースサイド病院の情報セキュリティ部長兼最高情報セキュリティ責任者であるマーティン・フィッシャー氏は、先日、『 Endpoint』（）の取材に対し語りました。 「私たちは神経質になっています。」 すべてのアラートは、小規模なインシデント対応調査となります。 「その程度の努力は、本当に疲れますね。」
の調査（ ）によると、平均的な企業では1日あたり10,000 件以上のセキュリティアラートが発生しており、企業のほぼ30％が100万件以上のアラートを報告していることが明らかになりました。 平均的なアメリカの労働者と比較すると、セキュリティ専門家は、ワークライフバランスが悪いと報告する割合が2倍以上高く、休暇をすべて取得しない割合が3倍以上高くなっています。
An agile workflow process called kanban, adopted by all Toyota plants in 1963, can help security professionals prioritize tasks when things change by the minute. この仕組みは、チームのワークフローを可視化することで、チーム全員がチームの優先事項と、他のメンバーが現在取り組んでいる作業の両方を把握できるようにするものです。
協力しましょう
多くの組織において、プログラマーは自分の才能さえあれば十分だと考えがちです。 彼らは、製品が動くようになるまでただコードを書くだけで、それ以外は「セキュリティ専門家の問題」だと思っているのです。 対照的に、「 （DevSecOps）」 と呼ばれる新たな取り組みは、セキュリティチームやプロセスをソフトウェア開発ライフサイクルに統合することで、これらやその他の対立する領域の間に架け橋を築き、脆弱性を早期に発見することを目的としています。
「昨年、人々が被った精神的・身体的負担は計り知れないほど大きく、人々は燃え尽きてしまっています。」ノースサイド病院の情報セキュリティ部長兼最高情報セキュリティ責任者、マーティン・フィッシャー氏
社内の分断を解消する一つの方法は、セキュリティをIT開発プロセスのより不可欠な要素とすることです。 EYの調査によると、現在、企業の3分の2近くが、ITプロジェクトの初期段階でセキュリティチームを関与させていません。 そのギャップを埋めるもう一つの方法は、「シフト・レフト」というソフトウェアテスト手法を採用することです。つまり、セキュリティテストを後付けで行うのではなく、開発サイクルのより早い段階で優先的に実施するということです。 このアプローチは、セキュリティチームと開発者間のさらなる連携を、必須とは言い切れないまでも、奨励するものです。
技術人材の供給体制を整備する
米国労働統計局によると、米国における情報セキュリティアナリストおよびエンジニアの雇用は、 31％ 増加し、 2019 から2029になると予測されています。 しかし、アスペン研究所のサイバーセキュリティ・グループの推計によると、 米国だけで今年、500,000 のサイバーセキュリティ関連の職種 が埋まらないままになる見込みです。 カリフォルニア州の報告書によると、ITを専門とする大学のプログラムに在籍する学生全員がサイバーセキュリティ分野に進んだとしても、州内の求人をすべて埋めるには不十分であることが明らかになりました。
人材不足を解消するためには、企業は4年制の工学やコンピュータサイエンスの課程を卒業した学生だけに目を向けるのではなく、その枠を超えて人材を探す必要があります。 サイバーセキュリティおよびIT分野のリーダーたちは、雇用主に対し、 「new collar」の労働者、つまり、高額な4年制大学の学位は持たないものの、今日需要の高い技術系職種に必要な基礎スキルと天性の適性を備えた人材を受け入れるよう求めています。 例えば、マスターカードは「サイバーセキュリティ・タレント・イニシアチブ」の設立を支援しました。これは官民連携による取り組みで、参加者の大半が女性、マイノリティ、あるいは転職を決意した人々であり、彼らをサイバーセキュリティ分野の初級職に就かせることを目的としています。 2年後、参加者はこのプログラムの提携企業の一つに就職を申し込むことができ、学生ローンの返済支援として75,000 ドルを受け取ることができます。
Taniumでは、職場における人材育成と多様性を促進する2つのキャリア育成プログラムを運営しています。 社は毎年、カリフォルニア大学バークレー校（UC Berkeley）の「女性技術者協会（SWE）」 のコホートを受け入れています。SWEは、に拠点を置く非営利の教育・奉仕団体です。。 Tanium本社で運営されているこのプログラムでは、学生はTaniumのエンジニアに同行して業務を見学したり、実務現場での指導を受けたり、模擬コーディング面接に参加したりする機会が得られます。 このプログラムは、学生に実社会での経験や人脈を提供するだけでなく、テクノロジー業界に関する新鮮で多様な視点――そしてもちろん、熱意――をタニウムにもたらしています。
[関連記事：Taniumの内部事情：夏のインターンシップがきっかけで、クラウドエンジニアリング部門の正社員に採用されました]
Taniumは国防総省と提携し、「 SkillBridge」（ ）というインターンシッププログラムを運営しています。このプログラムは、現役勤務の最終数ヶ月間に、米軍の隊員に実務経験を積む機会を提供するものです。 新入社員は、Taniumのプラットフォーム上で研修を受け、Taniumのチームや顧客と協働しながら、独創的で型にはまらない問題解決の現場を実際に体験します。 下士官・将校を問わず、どの階級の方でも参加できます。
ダイバーシティ、官民連携、そして「ニューカラー」人材の採用といった分野において、変化が起きています。 そうすることで、企業は、技術ツールだけでは得られないほどはるかに優れた方法で、防御体制を強化することになるでしょう。
