この1年間、テクノロジー業界で広範囲にわたる人員削減が行われていますが、少なくとも1つの希望の光があります。それは、サイバーセキュリティチームが、当初考えられていたほど深刻な打撃を受けていないということです。
非営利団体(ISC)²が最近実施した「 」グローバル調査（ ）によると、調査対象となった1,000 人の経営幹部の半数が、今年中に人員削減を承認する可能性が極めて高い一方で、サイバーセキュリティ担当者の削減を見込んでいるのはわずか10％にとどまることが明らかになりました。 これは、セキュリティチームにとってのその他の好材料とも符合しています。1月に発表された のデータ（ ）によると、2022 年におけるサイバーセキュリティ従事者の総数は、前回の推計値から比較的横ばいでした。また、国家安全保障局（NSA）などの公共部門では採用が増加傾向にあり、NSAは2023年のサイバーセキュリティ職の採用枠を埋めるため、 「前例のない」採用活動を展開しています（ ）。
このことは、民間および公共部門の企業リーダーたちが、 ランサムウェア、 ビジネスメール詐欺、およびその他の 継続的な脅威 の増加を踏まえ、サイバーセキュリティ担当者の人員を過度に削減することはできないと認識していることを示唆しています。 しかし、人員削減は間違いなく の脅威情勢に変化をもたらすため、企業のリーダーにとっては、サイバーセキュリティ戦略を定期的に更新することがこれまで以上に重要となります。
例えば、企業やユーザーは、「 」を悪用したフィッシング攻撃（ ）の増加に気づくかもしれません。これは、従業員を騙して危険なリンクをクリックさせようとするものです。 偽のアンケートや賞、 や に掲載されている「困窮しているナイジェリアの王子」への支援要請に加え、解雇された従業員は、自社の福利厚生の最新情報を提供すると謳うリンクが記載されたフィッシング詐欺メールを受け取り始める可能性があります。
経営幹部向けコンサルティング会社HexviewのCISOであるマックス・ソロンスキー氏は、組織は、「取り残された」従業員が落ち込んだり、次に解雇通知を受け取るのは自分ではないかと不安に思ったりして、生産性が低下することによっても悪影響を受ける可能性があると述べています。
「企業が多くの従業員を解雇すると、残った従業員の士気は、たいてい高くないものです」と彼は言います。 「場合によっては、問題に対して反応するほど十分に気にかけていない可能性があり、それが全体的なリスクを高めています。」
さらに悪いことに、スタッフの不機嫌な態度は企業の内部リスクを高め、さらなるセキュリティ対策の見直しを余儀なくされることになります。 人員削減は、たとえセキュリティチームに直接影響が及ばないとしても、常に何らかの代償を伴います。
IT業界の人員削減にまつわる「知られざる裏事情」
はっきりさせておきますが、 の最高情報セキュリティ責任者である 氏とそのチームは、人員削減を完全に回避できたわけではなく、中にはセキュリティチーム全体を解体している企業さえあります。 例えば、 2015年以来一度もセキュリティ侵害を受けたことがなかったクリエイター向け会員制プラットフォーム「Patreon」（ ）は、昨年9月に5人のサイバーセキュリティチームを解雇しました（ ）。
“If you go two years with no security, yes, you save $20 million. しかし、それよりもはるかに大きな損失を被るリスクが極めて高いのです。”IT-Harvestのチーフリサーチアナリスト、リチャード・スティエンノン氏
「組織の縮小に伴い、CISOやITセキュリティ担当者を解雇した大企業は間違いなく存在します」と、リーバイス・ストラウスの元CISOであり、 S3 コンサルティングの創設者であるスティーブ・ザレフスキー氏は述べています。 「彼らはその点を強調していません。」 「それは彼らの隠された秘密なんです。」
短期的に多少の費用を節約できるという魅力は理解できますが、IT-Harvestのチーフリサーチアナリストであるリチャード・スティノン氏は、そのようなアプローチは「近視眼的」であると指摘しています。
“To have good security, it costs about $10 million a year,” Stiennon says. “If you go two years with no security, yes, you save $20 million. 「しかし、それよりもはるかに大きな損失を被るリスクが極めて高いのです。」
[関連記事：人員削減が、新たな世代のデータ窃盗犯やハッカーを生み出す恐れがあります]
実際、企業は、社内のセキュリティ担当者の数が少ないと、今後数年間で発生する可能性が高い、ますます巧妙化する攻撃から自社を守る能力が低下してしまうことに気づくかもしれません。
「リソースが限られていると、組織は最新のセキュリティ更新プログラムやパッチの適用に追いつけず、脆弱性が悪用されるリスクが高まる可能性があります」と、IronNet Cybersecurityの最高情報責任者（CIO）兼創業者であるジョージ・ラモント氏は述べています。 「ソフトウェア開発チームは、セキュリティ修正や のパッチ を、ついバックログに回してしまいがちですが、それらが解決されるまでは、システムや製品にリスクが生じることになります。」
余波への対処
専門家たちは、特に人員削減が企業の内部と外部の両面に変化をもたらすことを踏まえ、企業はセキュリティ体制を維持するために全力を尽くさなければならないと警告しています。 こうした変化に備えるため、企業およびセキュリティの責任者が講じることができる 5 の先手を打つための対策をご紹介します。
全員の認識を統一しましょう
ラモント氏は、人員が逼迫している状況では、ITや運用部門から人事、法務、マーケティング、サービス、サポートに至るまで、依然としてその企業で働いている全員が足並みを揃え、サイバー攻撃が発生した際に即座に対応できる態勢を整えておくことが、これまで以上に重要だと述べています。 つまり、 のインシデント対応プレイブック（ または ）を見直し、必要に応じて（ ）計画を策定する必要があります。 また、彼はウォーゲームのような合同ロールプレイング演習を行うことを提言しています。
「人員削減後も残った社員の間に不満な雰囲気が広がると、内部リスクが高まり、セキュリティ対策のさらなる見直しが必要となります。」
「 サイバーセキュリティの机上演習（TTX）の最中に、主要な担当者の氏名や連絡網が変更されていることに気づくことが、何度もあります」とラモント氏は述べています。 「実際のイベントで、そんな体験はしたくないですよね。」
自動化する
セキュリティ問題に対処する人員が減少すれば、重要な業務の自動化は単なる選択肢ではなく、必要不可欠なものとなるでしょう。 かつては「聖杯」と見なされながらも、あまり普及していなかったセキュリティの自動化が、今や再び脚光を浴びています。
[Read also: A security automation playbook for 2023]
セキュリティ自動化ツールは、 差し迫ったリスクを軽減し、燃え尽き症候群に陥った従業員や、慢性的な人手不足に悩むITチームの負担を和らげるのに役立ちます。 たとえば、統合型エンドポイント 管理システムは、リアルタイムデータにアクセスすることで、エンドツーエンドの自動化を実現します。 各事業部門内でサイロ化されがちなID管理を一元化・自動化することで、ユーザーやデバイスが、権限の範囲内で適切なリソースやデータにのみアクセスできるようになります。
統合する
厳しい予算事情に直面する中、経営陣は 重複したり不要なツールセットを排除しなければなりません。 組織は、既存のツールでは対応しきれない問題の解決策として、さらにツールを追加することばかりを考えがちです。
残念ながら、これによりツールの乱立を招き、膨大な数の単機能ソリューションがコストの増加、複雑化、そしてサイバーリスクの増大につながってしまいます。 複数の機能を処理するための単一の公認プラットフォームを設けることが、より効率的で現実的な解決策であると、一部の専門家は述べています。
採用、採用、採用
人員削減を続けてきた企業にとっては直感に反するように思えるかもしれませんが、現在、仕事を探しているセキュリティ分野の人材は、ここ数年で最も多い状況にあると思われます。 And considering more than 3.4 million cybersecurity jobs remain unfilled, according to another (ISC)² study, that spells pure opportunity. 不動産投資家が市況低迷時に好条件の物件を見つけるのと同様に、目利きの雇用主は、この激動の経済状況の中で、隠れた逸材を掘り起こすことができるのです。
これは、公共部門のセキュリティ責任者にとって、とりわけ賢明な措置と言えます。 人事管理局（OPM）によると、連邦政府は今年、NSAやサイバーセキュリティ・インフラセキュリティ庁（CISA）を含め、 22,000 件以上の技術職の 採用を予定しています。CISAは昨年、数百人の人員を増員しており、2023年にはさらに多くの 採用を行う予定です 。
[関連記事：人員削減は従業員の士気を大きく低下させますが、幸いなことに、デジタル従業員体験（DEX）プラットフォームを活用すれば、残留した従業員の集中力を維持し、満足度を高めることができます]
また、多くの州および地方自治体の機関では、バイデン大統領のインフラ法案で確保された 10億ドルのサイバーセキュリティ資金 を活用し、州全体を網羅する 新たなサイバーセキュリティプログラムの体制整備を進めています。
サードパーティによるサポートを検討してください
Patreonの場合もそうだったかもしれませんが、人員を削減した企業は、自社でセキュリティ体制を強化するための専門知識が不足していることに気づき、マネージド・セキュリティ・サービス・プロバイダー（MSSP）に支援を求めることがよくあります。 スティエンノン氏は、これは多くの企業にとって賢明なアプローチだと述べています。
「数百、いや数千もの優れたMSSPがあり、喜んでその業務を引き受けてくれるでしょう」と彼は言います。 「解雇したばかりの従業員に対する退職金やCOBRA保険料の支払いが依然として発生するため、純費用の増加となるでしょう。」 「ただし、サイバーセキュリティに関しては補償の対象となります。」
