【第4回】 セキュリティ人材の要否論

多くの企業にとって、人材不足は共通した課題です。その中でも、セキュリティのような専門分野では、適任者がいないのを前提に考えることも必要です。特に中小企業では、取引先からのセキュリティ要求が高まる一方、人手が足りない社内での対応はきわめて難しいはずです。
本コラムでは、セキュリティに関わる社内人材の要否も含め、計4回にわたり中小企業におけるセキュリティ体制を考察します。

セキュリティ人材の要否論

いよいよ本テーマも最終回です。第1回目ではセキュリティ人材の概況を説明し、続く2回目では管理者、3回目に担当者の役割を考察してきました。そうした内容を踏まえて、締めくくりたいと思いますが・・・
その前に、振り出しに戻す（ちゃぶ台をひっくり返す）ようなことから、あらためて考えてみます。

そんなセキュリティ人材の要否論から、今後どのような人材・組織戦略を進めるべきかを説明します。

そもそも社内で育成が必要？

まずは、セキュリティ管理者や担当者のような人材が、本当に社内で必要なのかどうかです。セキュリティ人材がいないと何が困るのでしょう？　実際にセキュリティインシデントが発生すると、その影響の大きさに応じて、経営層もしくは管理職が陣頭指揮を取ると思われます。ただし、セキュリティの技術的なことは門外漢のため、それをサポートする人がいないと対処ができません。

次に、事後的なインシデント対応だけでなく、予防的なセキュリティ対策を考えてみます。マルウェア感染を防ぐために、対策ツールを導入して最新の状態を維持していく。怪しいメールの添付ファイルをうっかりクリックしないよう、定期的な教育の実施を徹底する。必要そうな対策をあげるとキリがありません。そうした対策を、個々の社員が自発的に行っていくのは、かなり無理がありそうです。

セキュリティ技術にやや明るい人材、そしてセキュリティ対策の導入を旗振りする人材がいないと、いくら中小企業だからといえ、分が悪いのは間違いありません。では、そうした人材をどのように確保すればいいのでしょう？　ここでは、社内育成／中途採用／外部委託といった選択肢で考えてみます。

ベンダーにお任せではダメ？

大手企業では、情報システム部門全体をアウトソースすることがあります。社内で育成や採用が難しければ、セキュリティの業務すべてを、外部ベンダーに任せてはダメなのでしょうか？
ここでは、仮にセキュリティ管理者とセキュリティ担当者の業務を、外部ベンダーに委託したケースで考えてみます。

こうしてみると、セキュリティ管理者を社内から（何とか）選抜し、外部ベンダーからセキュリティ担当者を受け入れるのが現実解のように思えます。ただし、それぞれの企業が置かれている状況（組織体制や社員の業務内容など）はさまざまです。何がベターなのかは、ケースバイケースで変わるはずです。

どうするセキュリティ人材

今後のデジタル化によるビジネス成長を考えれば、中小企業とはいえセキュリティリスクは経営リスクの一つです。ビジネスを支える基盤として、セキュリティ対策の推進は欠かせません。セキュリティ戦略を担う（経営とセキュリティを橋渡しする）管理者のような人材がいるかどうかで、企業の競争力は大きく変わるかもしれません。
第2回目（セキュリティ管理者の役割）の「経営とセキュリティの橋渡し」で説明したとおり、中小企業だからこそ、（灯台下暗しのように）きっと逸材が見つかるはずです。そうした人材の芽を見つけ、育てていくことが重要だと考えます。

また、第3回目（セキュリティ担当者の役割）の「理想的な体制とは」では、セキュリティ対策は大きく、「組織的な対策」と「技術的な対策」に分かれると説明しました。技術的な対策は、外部ベンダーへ全面委託するといった割り切りも、考え方（セキュリティ戦略）の一つです。

中小企業に限らず、人材不足は社会的な課題として避けては通れません。そうした中でも、創意工夫で柔軟に対処できる（小回りが利く）のが、中小企業の強みです。中途半端な体制で役割を曖昧にしたり、一部の担当者へ無理強いさせたりすることなく、戦略的に「やる／やらない」を決めていくべきです。
自社で育成すべき要員、積極的にアウトソースする業務、各部門の協業体制など、各企業の環境に適したやり方があるはずです。そうした中小企業の人材・組織戦略を検討し、セキュリティ戦略に落とし込む必要があるのではないでしょうか。

おわりに

「どうする中小企業のセキュリティ人材」と題し、計4回にわたって説明をしました。一般的に組織的な課題は、「これが正解！」といった勝利の方程式はありません。これを機会に、自社のセキュリティ体制やセキュリティ人材について、いろいろ考えを深めていただけると幸いです。
また、次回から新たなテーマが始まります。どうぞご期待ください。