サイバーセキュリティとそれを担う人材の重要性は世界的に高まる一方だが、依然として需要に対する人材の不足は続いているという。サイバーセキュリティ人材の育成と資格認定などを手掛けるInternational Information System Security Certification Consortium［以下（ISC）2］でエグゼクティブバイスプレジデントを務めるTara Wisniewski氏に、セキュリティ人材を取り巻く現状と課題、人材不足解消に向けた取り組みを聞いた。
（ISC）2 アドボカシー、グローバルマーケットおよび会員エンゲージメント担当エグゼクティブバイスプレジデントのTara Wisniewski氏
（ISC）2が取り扱う資格の中で、高度なスキルを有するセキュリティ専門家を認定しているのが、「Certified Information Systems Security Professional」（CISSP）になる。（ISC）2が毎年10月に公開しているセキュリティ人材に関する調査レポートの2021年版によると、セキュリティ人材は世界で417万人に上る。日本は27万6000人とされ、アジア太平洋地域では最多の規模だという。しかし、依然としてセキュリティ人材需要に対する不足は、世界では272万人、日本では4万人に上るとしている。
Wisniewski氏は、「新たなセキュリティ人材が着実に増えているものの、需要がそれを上回っており、需要と供給のギャップは広がり続けている。今は2022年版の調査を進めている途中だが、解消に向かう様子は見られない」と指摘する。
現在は、世界中の組織がサイバー攻撃などの外部脅威や関係者による不正といった内部脅威に直面しており、機密情報の侵害やシステムの停止などの複雑で深刻な被害が発生し続けている。サイバーセキュリティは、国家レベルでも個々の組織単位でも優先的に取り組むべき重要課題の1つになり、それを担う人材はトップマネジメントから現場のエキスパートまでのあらゆる部分で充足していない。
Wisniewski氏によれば、先述の調査では、こうした現状を少しでも解消するための手がかりがうかがえるという。「サイバーセキュリティ専門家の75％がこの仕事に満足しており、IT以外の業界からサイバーセキュリティ分野に参画する人材も増える傾向にある。特に、女性の50％がIT以外の出身となっている」
増える一方のセキュリティ人材需要に対応するため、（ISC）2は米国時間7月19日、初級者向けの新たな認定資格「（ISC）2 Certified in Cybersecurity」の創設とそのトレーニングを無償提供する方針を発表した。これによって100万人の新資格認定者を新たに育成し、272万人の不足を解消させたいという。日本では、この方針表明に先駆けて同14日に、初級者向け資格認定試験のパイロットプログラムを国内で提供することを発表した。
サイバーセキュリティの業務は、認定資格を取得すればそれで良いというわけではなく、常に高度化、巧妙化すると言われる脅威へ対応していくスキルや経験を継続的に高めていかなければならない。人材を増やすことはもちろん、現在活躍している人材が今後も活躍し続けていける環境を整えていくことも必須だろう。
Wisniewski氏は、「セキュリティの専門家のモチベーションは、仕事に対する評価や報酬だけでなく、正義や情熱、倫理といったさまざまな要素にまたがり、常に変化している状況へ対応していく飽くなき挑戦もある。彼らが常に成長していくことができる道筋を提供することが1つの方策になるだろう」と述べる。
ただ、サイバーセキュリティ企業のTrellixの調査によれば、セキュリティ人材の3人に1人が数年のうちに職種を変えたがっており、同社は組織にとって危険な兆候だと指摘している。
Wisniewski氏は、セキュリティ人材を求める組織側の期待や評価が高まる傾向にあるものの、セキュリティ人材の地位を高めていく姿勢が世界中の組織に共通する課題だと指摘している。「組織におけるセキュリティ人材の位置付けは、ITチームの中であったり、コンプライアンスやリスク部門であったり、セキュリティ専門チームであったりとさまざまだが、彼らがプロフェッショナルとしてこの仕事に対する興味や関心、情熱を維持、向上し続けていけるようにすることが重要になる」
セキュリティの業務の内容は、最新の脅威を理解する調査・分析や防御のテクノロジー、平時のセキュリティ管理、インシデントなど万一の有事を適切にコントロールするマネジメントなど多岐に渡る。どれにも高度な専門性が必要で、Wisniewski氏は、そのスキルを向上、拡張していくことがセキュリティ人材の価値をさらに高めることにつながると話す。
「日本についても、先の調査からうかがえるのは、日本がアジアにおけるサイバーセキュリティのリーダーになり得る可能性を有する点になる。（ISC）2としても、政府・公共・民間のあらゆる組織と連携し、セキュリティ人材がより活躍でき、サイバーセキュリティの水準を高めていく支援に取り組む所存だ」（Wisniewski氏）
