中小企業を対象とした最近の調査では、CISOの94%が仕事関連のストレスを抱えており、それが業務に影響を与えていることが判明しました。 CISOの役割に対する期待が変化する中、S3 Consultingのスティーブ・ザレウスキーに、これらの重要なセキュリティ専門家がどのようにキャリアを延ばし、メンタルヘルスを維持できるかについて話を聞きます。
ホスト: Melissa Bischoping、エンドポイントセキュリティリサーチディレクター、Tanium
ゲスト: Steve Zalewski、元CISO、創設者、S3 Consulting
ショーノート
CISOに関するより詳しい情報（燃え尽き症候群への対処法、取締役会との効果的なコミュニケーション、新しいAIツール、さらに人気シリーズ「CISO Success Stories」に登場する現役CISOからの実践的なヒントや視点など）、そして、この役割をより深く理解しサポートしたいと考えるエンタープライズリーダーの方々のために、Taniumの受賞歴を誇るオンラインサイバーニュースマガジンFocal Pointの以下の記事をご覧ください。
- 4 AI時代におけるCISOの重要なリーダーシップ優先事項 | Tanium
- CISOが燃え尽き症候群と戦いキャリアを延ばす方法 | Tanium
- CISO成功事例：AIでサイバー犯罪と戦うリアルなマーベル「スーパーヒーロー」 | Tanium
- CISO成功事例：サイバーリスクを（正確に）予測するのはこの人物の公式があれば簡単 | Tanium
- CISO成功事例：LAカウンティがフィッシング対策のために従業員をトレーニング（および再トレーニング）する方法 | Tanium
- CISOのための最初の90日間ガイド | Tanium
- CISOのM&Aサバイバルガイド | Tanium
トランスクリプト
以下のインタビューは、明確さのために編集されています。
"私は何度も燃え尽きました。 良いことではありませんでした。 私は以前、人々が朝2に私にテキストメッセージを送ってきて、私が返信すると、「何で起きてるの？」と言われることをよく冗談にしていました。 私はこう答えていました。セキュリティに休みはない、24/7の仕事だからね。 眠りたくても、事件が起きてしまうから。 動き続けなければならない。"スティーブ・ザレフスキー、元CISO；S3 コンサルティング創設者
メリッサ・ビショッピング： 最高情報セキュリティ責任者（CISO）は、特に証券取引委員会（SEC）の新しい規則により、近年大きなプレッシャーにさらされています。 SECのサイバー透明性に関する新しい規則は2023年末に施行され、ソーラーウィンズ社とその最高情報セキュリティ責任者ティモシー・ブラウンに対する訴訟（特定のCISOを標的にした初めてのケース）は、多くの経営幹部をかつてないほど驚かせ、ストレスを与えています。
こんにちは、私はタニウムのエンドポイントセキュリティリサーチディレクター、メリッサ・ビショッピングです。本日の「Let's Converge」では、CISOとバーンアウトについて、そしてこれらの重要なセキュリティ専門家がどのようにキャリアを延ばし、メンタルヘルスを守ることができるかについてお話しします。
中小企業を対象とした最近の調査では、CISOの94%が仕事関連のストレスを抱えており、それが業務に影響を与えていることが判明しました。 別の調査では、CISOの3人に1人しかD&O保険（企業の取締役や役員を保護する特定の保険）を受けていないことがわかりました。 これらは良い数字ではなく、ますます多くのCISOが職業を離れることを選択する原因となっています。
CISOが何をできるかについて議論するために参加してくれたのは、元CISOでセキュリティアーキテクト、そして最近ではS3 コンサルティングの創設者であるスティーブ・ザレフスキーです。同社はセキュリティ企業、ベンチャーキャピタル会社、その他の企業に専門的なサイバーガイダンスを提供しています。 ポッドキャストへようこそ、スティーブ。
スティーブ・ザレウスキー： ありがとう、メリッサ。 お招きいただき感謝します。
ビショッピング： 本題に入る前に、まず最初に申し上げておきたいのですが、CISOの役割は常にストレスに満ちており、燃え尽き症候群の可能性を高める多くのことがその職務に伴っています。 しかし近年、それはかなり顕著な上昇傾向にあるようです。 その背景にある理由は何だとお考えですか？
ザレウスキー： 期待の変化です。 歴史的に、CISOはCIOの下で働いており、それは技術的な役割であり、CISOの仕事は会社を守るための技術的なツールを導入することです。 ですから冗談めかして言うと、私の[以前の]仕事は、攻撃を阻止するために、完璧なビジネスプロセスに摩擦を生じさせて非効率にすることでした。 そしてそれはしばらくの間はうまくいっていました。 しかし、ますます多くの事業部門が、セキュリティがビジネスプロセスに与える摩擦の量について交渉したいと言うようになっています。 そして今、セキュリティの実務者として、私は会社を守ろうとするテクノロジストから、ビジネスを守るためのリスクマネージャーへと変わっています。 そして、多くの会話がそちらの方向へ向かっています。 今や私たちの仕事は、ビジネスを支援することです。
リーバイスでは、私の仕事は会社を守ることでも、ビジネスを保護することでもないとよく言っていました。 それはジーンズをより多く売ることでした。 では、リーダーシップチームとサイバーリスクの話ではなく、ビジネスリスクの話をするにはどうすればよいでしょうか？ その結果、SECに関するあなたの指摘のように、私たちの多くが本質的にただのテクノロジストであるにもかかわらず、経営幹部のリスクという観点から責任を問われるようになっています。
Bischoping: 少し話を戻させてください。具体的に、あなたがCISOだった頃、その役割で受けていた職場のプレッシャー、これらさまざまな問題と戦わなければならなかったこと——それは徐々に忍び寄ってきたと感じましたか、それともそのレベルの燃え尽き症候群やストレスに対して特定の限界点のようなものがありましたか？
Zalewski: それは積み重なっていきます。 似ているかもしれませんが——正しいたとえではないかもしれませんが——子供を持つことに似ていると思います。 そして「魔の2歳」があり、その後子供たちはティーンエイジャーになってトンネルの中に入っていきます。 そしてトンネルから出てくると、うまくいくのです。 セキュリティプログラムを構築し、運営することは、今まさにそれに似ています。 なぜなら、私が参加する際には、そのプログラムに対する一定の期待があるからです。 しかし、子供——つまり会社そのもの、経営幹部チーム、上場企業であれば取締役会——の期待は成熟しつつあります。 彼らは理解しようとしています。技術的な測定を求めるのか、それともリスクの測定を求めるのか？ ビジネス指標を求めるのか？ そしてCISOたちは主にテクノロジストとして参入してくるか、あるいはリスク登録簿に精通した銀行業界から参入してくるか——双方において成熟が進んでいます。つまり、2年前に良かったことが今日も良いとは限らないのです。 しかし、それは固定された成熟の道筋ではありません。
私たちは模索しながら進んでいます。 だからこそ、多くのストレスが見られるのです。 CPAや弁護士になる方法のように、明確ではないからです。 私たちはCISOになる方法を模索しています。 多くの人は必ずしもそれらの転換点を見えておらず、そのため燃え尽きて去ってしまうか、これまでの働き方をもはや維持できなくなってしまいます。 あるいは、リーダーシップチームの期待が変わり、「あなたのことは好きだが、別の話し合いが必要だ」と単純に言われてしまいます。
Bischoping: あなたの経歴を見ると、Pacific Gas & Electricで働き、Levi Straussで働いていたので、小売業でも働いていたことになります。 それらの業界が成熟度の異なるレベルに到達しようとし、業界とともにプロセスを成熟させようとする中で、同じまたは異なる問題点に直面していると思いますか？
Zalewski: 技術的なコントロールのレベルでは、すべて同じ技術的コントロールです。つまり、アイデンティティとアクセス管理、ネットワーク保護、エンドポイント保護です。 しかし、どのような種類の攻撃者が私に迫っているか、そして会社のデータだけでなく消費者データを保護する義務が何であるかを考えると、それは大きく異なります。 そして、SOXコントロールやHIPAAコントロールのような導入されているコントロールと、それをどのように実施しているかを確認します。 そして、SaaSベースの中小企業や新興企業を見ると、重い規制がなかったり、資金不足のために大きなセキュリティチームを持っていなかったりします。 これらは「スノーフレーク」であり、これがあなたが理解しているような現実です。 そのため、それらの業種や分野で活動する個々のセキュリティ担当者は、非常に異なる状況にあります。
マクロレベルで言えば、S&P 500 のCISO、つまり大手上場企業には大規模なセキュリティチームがあり、10 年や 15 年もの経験を積んでいます。 私たちはその中で成長してきたので、大規模なセキュリティプログラムがどういうものかを知っています。 そして、新世代の中小企業、つまりSaaS企業や医師のオフィス、医療施設などが台頭してきており、セキュリティチームを持っていないか、非常に小規模なチームしかないため、25 個のセキュリティ製品を導入できない場合があります。
Bischoping: 私が非常に関心を持っているのは、職場における政治的な側面と関係構築です。 私がキャリアを通じてよく話してきたことの一つは、セキュリティの分野で成功したいなら、あなたを際立たせるのは、ビジネスの他の部門と関係を築き、彼らが理解・認識できる言葉でコミュニケーションを取り、セキュリティの価値をビジネスの他の部門に示す能力だということです。 そして、セキュリティチーム、特にCISOやそのチームのリーダーは、「彼らはただ私に『ノー』と言うためだけにいる、何もできないようにするためだけにいる」と見られることが多いと思います。
セキュリティチームがより良いビジネス慣行を促進するために存在することを教育・啓発し、ビジネスのより多くの部門を味方につけるための関係を構築するには、どのようにアプローチしますか？
Zalewski: 率直に言うと、セキュリティは機能要件中心の世界における非機能要件です。 ほとんどの企業にとってセキュリティは収益を生まないため、強制されなければ誰も実装しないでしょう。 それは摩擦であり、私たちが求めているのはより多くのジーンズを売るための効率的なビジネスプロセスです。 ですから、「私たちはあなたを助けるためにここにいます。なぜ私の仕事が重要なのかを理解してもらうためにサイバーセキュリティを説明させてください」と言いながらも、それが相手の仕事に摩擦をもたらす可能性があることを認めましょう。 ですから、これは非常に難しい会話です。
Bischoping: ええ、少なくとも私の経験では、「この新しいセキュリティ管理策が必要です。 規制や上位の誰かによって強制されています。 この新しいセキュリティ管理策を実装しなければなりません。 摩擦を減らすために実装について一緒に取り組みましょう。 私たちは皆、同じ立場にいます」と言う方が、より効果的であることが多いと思います。 しかし、それでも多くの抵抗に遭っています。
ザレウスキー： まったくその通りです。 他のCISOと話すとき、私は冗談半分にこう聞きます。すべての従業員が必ず注目するセキュリティ指標のナンバーワンは何だと思いますか？ すると、攻撃の件数やフィッシング演習の件数だと言う人がいます。 違います！ ナンバーワンの指標は、セキュリティ管理を導入することで、ボーナスを100パーセント受け取れる可能性が20％上がるかどうかです。 これで注目してもらえます。 それが現実です。
では、セキュリティを実施しない場合のコストに対するセキュリティの負担について、あなたへの影響という観点から話しましょう。 いいですか？ 変化。 それがビジネスというものです。 これはもはやセキュリティの話ではなく、ビジネスの話です。 そして、そこに辿り着かなければなりません。 リーバイスにいた頃も同じことを言っていました。私の仕事はジーンズをもっと売ることだと。 ベンダーに聞いたものです。「エンドポイント保護について、あなたたちのやっていることがどうやってジーンズの販売増につながるんですか？」と。 「うーん、わかりません、スティーブ。 私たちはセキュリティを提供するためにここにいるので、攻撃が起きないようにするんです。」 それでは意味がありません。 ビジネスはそんなことを気にしません。 ビジネスリスク分析はどこにあるんですか？ 私はよくこう言っていました。「私の仕事は、リーバイスが今後6ヶ月で収益を3倍にできるようにしながら、それをサポートするためにセキュリティプログラムを3倍にする必要がないようにすることだ」と。
Bischoping: それは素晴らしい視点だと思います。
Zalewski: リスク分析はどこにあるのですか？ だから私は人々にこう話します。取締役会に出席していた頃、私たちはセキュリティ管理について話し、攻撃について話していました。 そして私たちは、取締役会に出席する際に評価されたいことは3つだけだと気づきました。ブランドを守ること、人々を守ること、そしてサプライチェーンを守ることです。 これだけです
ビジネスへの影響分析の観点から、ブランド、つまり消費者データが侵害されないようにしなければなりません。なぜなら、消費者は他の場所でジーンズを買うことができるからです。 私の人々は最も弱いリンクであり、常にそうであり続けるでしょう。では、人々への攻撃対象領域を管理するために何をしているのでしょうか？ そして、サプライチェーンは絶対に不可欠です。なぜなら、店舗にジーンズがなければ、ビジネスは成り立たないからです。 では、ビジネスを継続するために、物理的なサプライチェーンとクラウドサプライチェーンが侵害されないようにするために何をしているのでしょうか？ 私が行うすべてのことは、それらの3つに対応していなければなりません。なぜなら、それがビジネスにとって重要なことだからです。
これは、ビジネスリスクの会話を持つことの意味と、セキュリティプログラムをその構成要素として位置づけることの意味を理解する、多くの人にとっての「気づきの瞬間」です。
Bischoping: そのような視点で捉えていただけるのは素晴らしいことです。 先ほど申し上げたように、私は石油・ガス業界で働いていましたが、リーダーシップと共に働いていた際のセキュリティのモットーの一つは、製造業や石油・ガスの環境では、安全が常に最優先事項であるということでした。 設備が爆発したり、製造ラインで事故が起きたりしないよう、人々の安全を守ることに自分のセキュリティ活動をどう結びつけられるか？ そして、それは本当に共感を呼びました。 ですから、どの業界でも、どんな会社であっても、常に念頭に置いているビジネス目標があると思います。 そして、自分の仕事をそのビジネス目標に合わせることが、賛同を得るためのより良い方法だということですね。
Zalewski: もう一点付け加えさせてください。これはストレスの話に戻ります。 ほとんどの経営幹部はビジネスの経営者であり、ITに分類されているようなものです。 彼らの仕事は、収益を生み出すためにビジネス機能を実行することです。 これだけです 例えば、石油・ガス分野のビジネスアプリケーションを構築していて、パイプラインを正しく設計し、石油を見つけることが私の仕事だとしましょう。 それは私がコントロールできます。 それを実現するための課題も、私がコントロールできます。 地質調査をしなければなりません。 どれだけ早く物資を調達できるかを把握しなければなりません。
セキュリティの問題は、自分の運命をコントロールできないことです。コントロールしているのは攻撃者たちです。 彼らは常に弱点を探して私を攻撃し続けています。 だから、私の最善の計画は毎日乱され、彼らが成功しているところに対応しなければなりません。 そして、セキュリティに携わる人々に言うように、不可能なことが毎日起きるのです。
あらゆる対策を講じて、すべて問題ないように見えても、誰かがミスを犯したり、脆弱性が悪用されたりして、何らかの方法で突破されてしまいます。そうなると防御に回り、境界を再構築しなければならず、さらに当初計画していたことも実行しようとしながら、常に対応に追われることになります。 それは、他のすべてのビジネス機能と比較して、セキュリティが持つ比較的独自のポジションです。 だから私たちは、危機管理が本当に、本当に得意になります。 しかし、あなたがMASHユニットの外科医で、戦争の中にいて、兵士たちが毎日次々とやってきて、彼らをただ生かし続け、誰が生き、誰が死ぬかを判断し、会社を前進させ続けようとしているとき――それは消耗することです。
Bischoping: まさにその通りです。 つまり、多くの異なるスキルセットについて話しているわけですが、それらはすべて本当に難しく、それらをすべて一つの役割に組み合わせると、バーンアウトに直接つながるストレスの完璧な嵐のようなものが生まれます。なぜなら、あなたは常に百もの異なる変数について考え続けなければならないからです。 あなたは、起こるかもしれないし、起こらないかもしれないが、備えておかなければならない未知の混乱に対して計画を立てています。 あなたは、休暇や週末を混乱させる今世紀最大のゼロデイに備えて計画を立てていますが、それが起こらないかもしれません。 そして、そのレベルの警戒と準備の状態にあることは、肉体的にも精神的にも疲弊させます。
では、CISOだけでなく業界全体として、精神的・肉体的健康を守り、切り離すことができるための戦術と戦略についてのアドバイスは何ですか？ なぜなら、それは健全ではないからです。 科学的な研究が出てきており、最近イギリスから発表されたものでは、ランサムウェアや侵害の影響が心血管の健康問題や精神的健康問題と関連していることが示されています。 業界の同僚、従業員、そして友人たちに、自分自身を守るようにどのようにアドバイスすればよいでしょうか？
CISOの一日がどのようなものかを人々に理解してもらえるようになればなるほど、そして彼らが理解すれば、このストレスをどのように管理するかについて話しやすくなります。 これは非常に、非常にストレスの多い状況です。 それを認めましょう。 真のエグゼクティブCISOが何に直面しているか、そしてこれらの新しいことを解明しようとしている私たちに業界がどのような要求をしているかを、多くの人が理解していないと思います。 しかし、それは私たちにかかってくるわけです、いいですか？ そして、いつ身を引かなければならないと気づくのでしょうか？
私がリーバイスにいたとき、リーダーシップは二重体制でした。 インシデントが発生した際にお互いをカバーできるよう、また休暇を取れるよう、もう一人が対応できるように、二人体制でした。 二重のリーダーシップ体制はあまり多くないですよね？
Bischoping: つまり、それは財政的に大きな投資ですね。
Zalewski: それがまさに私たちが言っていることです。 これらすべての要素が見えますか？ …これがCISOであるということです。 これは、エグゼクティブとしてのCISOの日常であり、これらすべての要素を見渡し、管理しようとしている人物の話です。 簡単な答えはありません。 しかし、私のような人間が、すべての動いている部分について独立した見解を示し、異なる部分をどのように連携させようとしているかを伝え、何が可能で何が起こりうるかを知るための会話ができるということは？ 私には簡単な答えなどありません。 私もその一部でした。
何度もバーンアウトしました。 良いことではありませんでした。 よく冗談を言っていたのですが、人々が朝2にテキストを送ってきて、私が返信すると、「何で起きてるの？」と言われるんです。 私は、「セキュリティは眠らないから」と答えます。 それは24/7な仕事です。 眠りたくても、事件が起きてしまうから。 動き出さなければならない。
自分の運命をコントロールできない。 だから、皆がその感覚をより深く理解し始めれば、期待をより上手く管理できるようになる、というのがそういった影響の種類です。
ビショッピング：どんな個人にとっても、24/7、365、電話が鳴るのを待ち続けることは持続不可能です。 権限の委譲や職務のローテーションが必要です。 そして、Cスイートレベルの話をするとき、おっしゃる通り、ほとんどの組織はそのような権限を二重に持つことはないでしょう。 副官がいる場合もありますが、特に小規模な組織であればいない場合もあります。 先ほど、医師のオフィスや小さな地域病院のような話をしていました。 複数のCISOが利用可能ですか？ おそらくそうではないでしょう。
Bischoping: かつて、メンタルヘルスの分野で働く友人から聞いたことがあります。ストレス、うつ、不安に対処するための第一歩は、それが正当なものであると認めること、つまり自分がそのストレスを経験しており、そのストレスが自分に影響を与えていると認識することだと言っていました。 ただそれを認識するだけでいいのです。 必ずしも魔法の杖を振ってそれを消し去ることはできません。
Zalewski: そうですね。 まったくその通りで、私たちはその会話をしています。 私たちが何をしているかわかりますか？ コミュニティを築いているのです。
Bischoping: まさにその通りです。
Zalewski: 私たちはお互いを信頼して、厳しい真実について話し合い、責任を追及するのではなく、問題を見つめ、一緒にどうするかを考えています。 そして、それがまさに重要な気づきの瞬間であり、人々がセキュリティ業界に身を置くということが実際にどういうことなのかを理解し始めるところです。
Bischoping: ここで締めくくる前に、私が何か見落としたことがないか、あるいは、今日バーンアウトを経験していると感じているCISOの方々や、その瀬戸際にいるかもしれないと懸念している方々に向けて、最後に何か伝えたい言葉があればお聞きしたいと思います。 より良く、より効果的に仕事をこなし、持続可能であるための最後の言葉として、何を伝えたいですか？
Zalewski: 私が言いたいのは、多くの方にとって、コロナ禍が訪れたとき、私たちが集まってコミュニティを築けなかったあの3年間が、亀裂を生み出したということです。 そうですよね？ だから…外に出て話しましょう。 また互いに顔を合わせましょう。 サポートネットワークを築き、それを再び結び直しましょう。 なぜなら、こうした会話を重ねることが、コミュニティを築き、すべてを理解し、共に取り組むために私たちができる最も効果的なことだからです。 それが私がここにいる理由ですよね？ 私が言いたいのはそういうことで、つまり、私の経験を共有させてほしいということです。 新しい期待がどこにあるかを理解できるよう、問題を順を追って説明させてください。
答えがない状況に追い込まれないよう、また、壁に頭をぶつけ続けることが効果的でないと気づくまで同じことを繰り返さないよう、どのように会話を変えていけばよいでしょうか。 では、その壁に頭をぶつけるのをやめて、別の質問をして、前に進もうとしましょう。 別の壁にぶつかるかもしれませんが、少なくとも違う壁になるでしょう。
Bischoping: 壁だらけの部屋になるかもしれませんね。 [彼女は笑う。] この会話の締めくくりとして、CISOはかつて技術的な役割であったという話から始まりましたが、実際にはコミュニティの構築、関係の構築、戦略とコミュニケーションの構築、そして自分自身にとって持続可能なキャリア選択にするための人間的なつながりの重要性に関する役割へと回帰してきたということが、とても印象的です。 改めて、すべてのご見識に感謝申し上げます。 本日はありがとうございました。
Zalewski: ありがとう、Melissa。 楽しかったです。 そして、これを聞いているすべての方へ：手を伸ばしてください。 私たちはここにいて、私たちはコミュニティです。そして…これを聞いたとき、「なぜ私がCISOになりたいと思うのか？？」とは考えないでください。 「なりたくない最高の仕事だ」ではなく、「これは個人的にも職業的にも非常に満足のいくものになり得るし、私たちはこれを解決していくだろう」と考えてください。 そして、私たちをサポートできる最高の人材が必要です。 ぜひ、この旅に参加してください。
Bischoping: ありがとう、Steve。
元CISOであり、S3 Consultingの創設者であるSteve Zalewskiとお話ししました。 CISOのための、そしてCISOによる専門家のアドバイスについてさらに詳しく知りたい方は、TaniumのオンラインサイバーニュースマガジンFocal Point、をご覧ください。 ショーノートにいくつかの関連記事へのリンクがあります。または、Tanium.comにアクセスしてください。
今日のトップビジネスリーダーやセキュリティ専門家とのさらなる対話を聞くには、お気に入りのポッドキャストアプリでLet's Convergeを購読してください。 このエピソードが気に入ったら、五つ星評価をお願いします。
ご視聴ありがとうございます。Let's Convergeの次のエピソードでさらなる洞察をお届けできることを楽しみにしています。
