2022年を迎えても、サイバーセキュリティ人材の不足は改善していない。むしろ悪化している。現在、米国では約43万5,000件のサイバーセキュリティ関連求人があり、2019年の約31万4,000件から増加している。新型コロナウイルス感染症のパンデミックへの対応としてリモートワークへ移行したことで、熟練したITプロフェッショナルの業務量は増加し、さらにランサムウェア攻撃の増加率も相まって、多くのセキュリティ人材が燃え尽き症候群に陥っている。こうした状況にもかかわらず、経験豊富なサイバーセキュリティ人材の必要性は薄れておらず、採用担当者や政府関係者は同じように人材不足の解決策を模索している。
サイバーセキュリティ採用のギャップ
サイバーセキュリティ人材採用の障壁
サイバーセキュリティのスキル不足に拍車をかけているのは、低賃金から従業員の燃え尽き症候群まで、企業が直面する数多くの課題だ。すべての問題を解決できるとは限らないが、状況の改善に向けて対処できるものもある。
燃え尽き症候群
Forresterの調査によると、「2021年のデータでは、サイバーセキュリティ専門家の51%が極度のストレスまたは燃え尽き症候群を経験し、65%が仕事上のストレスを理由に退職を考えたことがあると回答している」。このレベルの燃え尽き症候群は、サイバーセキュリティ専門家が仕事を辞めるだけでなく、業界そのものを去るケースもあることを意味する。この燃え尽き症候群の多くは新型コロナウイルス感染症のパンデミックに直接起因しており、企業がデジタルトランスフォーメーションを進めるなかで、サイバーセキュリティ人材はより重い業務を担うよう求められている。数年にわたるパンデミックに伴うメンタルヘルス上の困難も言うまでもない。
競争力のない賃金
企業がIT部門に課す業務量が増えているにもかかわらず、それを補うために賃金を引き上げてはいない。こうした職種は需要が非常に高いため、多くの労働者は転職して、はるかに高い給与を簡単に得られる。その後、従業員が去ってしまうと、企業は彼らを補充するのがほぼ不可能になる。なぜなら、給与が求められる業務水準に見合っていないからだ。
福利厚生が仕事のストレスを上回らない
競争力のある給与は重要だが、適切な福利厚生の組み合わせこそが、燃え尽き症候群への対策や従業員の定着を実際に左右する。企業が提示する福利厚生が仕事のストレスを上回らなければ、従業員は退職し、補充も難しくなる。有給休暇や柔軟な働き方の選択肢はこの点で大きな役割を果たし、企業が従業員向けの福利厚生を改善できる低コストな方法でもある。注目を集めるスタートアップや、どこからでも人材を採用できる大手競合企業も、魅力的な福利厚生を提示できる予算や柔軟性を持つため、人材獲得競争で企業を不利な立場に置いている。
政府の取り組み
米国政府でさえサイバーセキュリティ職の補充に苦慮しており、この問題を解決するための政府の取り組みにつながっている。
DHSのサイバーセキュリティ人材管理システム
米国土安全保障省は、採用プロセスの効率化、より良い報酬パッケージの策定、新たなキャリア開発プログラムの構築を可能にするサイバーセキュリティ人材管理システムを設けた。このポータルには、さまざまなサイバーセキュリティスキルの評価に加え、職務ごとにカスタマイズされた応募書類が用意されているため、応募者は不要な情報の入力に時間を費やさずに済む。
サイバーセキュリティ人材「スプリント」
2021年3月、DHS長官のMayorkas氏は、複数のサイバーセキュリティ上の優先課題を対象とする、60日間のサイバーセキュリティ・スプリント6件の概要を示した。対象となったのは次のとおり。
- ランサムウェア（2021年4月・5月）
- サイバーセキュリティ人材（2021年5月・6月）
- 産業用制御システム（2021年7月・8月）
- サイバーセキュリティと輸送（2021年9月・10月）
- 選挙セキュリティ（2021年11月・12月）
- 国際サイバーセキュリティ（2022年1月・2月）
DHSは、これら各分野の取り組みが60日を超える期間を要することを理解しているが、こうしたスプリントを通じて、既存の取り組みが課題に対処していることを確認し、障害を特定・排除するとともに、必要に応じて新たなパートナーシップを形成する機会を創出している。
企業の採用活動
企業も、優秀なサイバーセキュリティ人材を見つけて育成するため、採用活動に工夫を凝らす必要がある。早い段階で将来の従業員候補を見つけるため、SANS InstituteやCyber Talent Instituteなどのテクノロジー関連組織と提携する企業もある。現従業員からの紹介を求めたり、競合他社を調べて福利厚生を改善する方法を探ったりする企業もある。
リモートワークや柔軟な働き方の選択肢も、新たな従業員を惹きつける方法だ。従業員が望む時間と場所で働けるようにすることは、多くのサイバーセキュリティ職に適している。通常、仕事をうまくこなすためにオフィスにいる必要がないからだ。
サイバーセキュリティ人材の見つけ方・育成方法
現在は厳しい状況だが、企業が人材を見つけ、空いている職務を埋めるためのサイバーセキュリティ人材を育成する方法はいくつかある。
インターンシッププログラムを創設する
インターンシッププログラムは、早い段階で優秀な人材を見つけ、自社で成功するために必要なスキルを教える優れた方法だ。成功するインターンシッププログラムを作るには、正社員がやりたがらない雑用を任せるだけでなく、実際の業務経験をインターンに積ませる必要がある。
また、地域の大学や、場合によっては高校とも連携し、この分野への関心を高め、将来の従業員を見つける必要がある。多くのコミュニティカレッジには充実したITプログラムがあり、多様な候補者層を確保するうえでも有力な情報源となる。さらに、インターンには給与を支払うべきだ。そうすることが、インターンを自社の業務に関与させ、より良い成果を出せるようストレスを減らし、優秀な人材の紹介を得る可能性を高める最善の方法である。
関連記事：MicrosoftやGoogleなどのテック大手、サイバーセキュリティに巨額投資を表明
現従業員から紹介を募る
採用担当者なら、適切な候補者を見つけるうえで紹介がどれほど役立つか、すでにご存じだろう。平均すると、紹介された候補者は採用までの期間が短く、紹介以外で採用された候補者の約2倍の期間、企業に在籍し、他の従業員獲得手法よりも高いROIをもたらす。現従業員から紹介を得るには、まず何を求めているのかを知ってもらう必要がある。
従業員はすでに自社のコアバリューを理解しているはずだが、折に触れて、募集中のポジションや成功に不可欠なポジションを知らせる時間を設けよう。すでに仕事を探している知人がいるのでなければ、自社の採用ページを確認する可能性は低いため、どんな仕事があるのかを伝える必要がある。さらに、従業員がネットワーク内の人材を空きポジションに紹介するよう促すため、紹介ボーナスの提供も検討するとよい。
サイバーセキュリティ分野への転向を望む従業員の教育費を補助する
社内には、サイバーセキュリティに関心はあるものの、転向に必要なスキルをまだ持っていない優秀な人材がいるかもしれない。人間の行動、コンプライアンス、政府の政策、リスク管理に関する知識を持つ従業員は、その知識をサイバーセキュリティ職で生かせる。こうした従業員の研修コースや授業料への資金提供・補助を検討しよう。例えば、TechnologyAdviceはThe Nashville Software Schoolと提携し、技術的なスキルを持たない現従業員がIT職へ移るために必要な研修費用を負担している。
これは従業員に成長の機会を与え、会社から評価されていると感じてもらえるだけでなく、より熟練し、仕事への関与度も高いIT人材を企業にもたらす。通常、この福利厚生には、研修や課程を修了した後、従業員がx年間会社に在籍すること、または授業料を会社に返済することを求める条件が付く。
DE&Iがサイバーセキュリティ人材の採用を改善
ダイバーシティ、エクイティ、インクルージョン（DE&I）は、サイバーセキュリティ人材の採用に不可欠だ。この業界は歴史的に白人男性とアジア系男性が大きく占めてきたが、女性や有色人種の人々も、新たなアイデアやより強い労働力という点で、大きな価値をもたらす。
多様性は、同質性では決して得られない形で、私たちを認知的な行動へと駆り立てる。
Katherine Phillips氏（Columbia Business School教授）
参入障壁を取り除く
DE&Iに注力すると、参入障壁を取り除けることが多い。採用担当者は、求人票に記載している要件の一部が、実際には従業員の成功に関係なく、優秀な候補者を見つける能力を損なっている可能性に気づくからだ。例えば、候補者に関連する経験や適切な資格があれば、4年制大学の学位を必要としない職種もある。しかし多くの職場ではそのような学位を求めるため、人口の大部分をすぐに候補から除外してしまう。
従業員に出社を義務付けることも、参入障壁の一つだ。リモートワークなら、人材プールを大幅に拡大し、障害のある人々にも対応でき、従業員にさらなるメリットを提供できる。従業員の通勤費を削減し、自家用の交通手段を持たない候補者にも選択肢を与えられる。現在のテクノロジー環境では、少なくとも大半の時間を自宅でできない仕事はほとんどない。特にITではそうだ。
組織を守る新たな方法につながるアイデア
A 多様な人材で構成された職場は仕事に新たな視点をもたらし、組織がサイバー攻撃から身を守る新たな方法を開発できるようにする。「多様性は、同質性では決して得られない形で、私たちを認知的な行動へと駆り立てる」と、Columbia Business School教授のKatherine Phillips氏はScientific Americanの記事に記している。
多様な背景を持つ従業員が集まると、全員が同じように世界を見ているわけではないため、自分のアイデアを伝え、同僚を理解するためにより努力する必要がある。これは新たなアイデアを生み出すだけでなく、組織全体のコミュニケーション改善にも役立つ。
企業がスキルギャップ解消に貢献する方法
サイバーセキュリティ人材の供給と空きポジションの間には大きなギャップがある。しかし企業は、IT部門以外の既存従業員に新たな機会を創出し、学生のサイバーセキュリティへの関心を高めることで、このギャップを埋められる。短期的には、福利厚生を改善して新たな従業員を惹きつけ、現従業員を定着させるとともに、紹介を得る可能性も高められるよう、既存従業員と取り組もう。そして、サイバーセキュリティおよびIT業務全般への需要の高まりに対応できるよう、給与を引き上げることも忘れてはならない。そうしなければ、増える従業員よりも失う従業員のほうが多くなる可能性がある。