筆者が過去2年間に4つの異なる職務の採用活動を行ったときにも同様の経験をしたことがあり、多少なりとも驚いた。その4つの職務は、初級から中堅相当のセキュリティテクノロジーの「ゼネラリスト」という一般的なセキュリティ職だった。以前、筆者の所属する人事部門では応募者の総数を200～400人の間に保つため、募集に締め切りを設ける必要があった。だが、今では3～4週間の募集期間を設けても、10～20人程度の応募者しかないことも珍しくない。また、多くの同業者も、全体的にセキュリティ担当者が不足していると話している。

大きな要因は注目を浴びた不正アクセス事件

　地域や求めるスキルに関係なく、セキュリティ人材の供給と不足を左右する要因は数多くある。だが、広義では、ある特定の要因が大部分を占めているように思える。それは近年のハッキング集団による不正アクセスに世間の注目が集まっていることだ。

　実際に不正アクセスの数が増えているのか、単に企業が不正アクセスを検出して報告するのが上手くなったのかについては議論の余地がある。だが、どちらにしても、新たなセキュリティ／コンプライアンスプロジェクトを始めようと考えていたり、既存の制度を拡大して、次なるハッキングのターゲットにならないようにする企業が急増していることは間違いない。

　米Target、米Home Depot、米Michael's、米Neiman Marcus、米Goodwillなどの小売業界における侵入事件は、広く公表され、マスコミにたたかれることになった。同じ運命をたどることを避けるため、セキュリティ対策を講じていなかった小売業界の中小企業の多くが、セキュリティ制度の整備に躍起になっている。このような中小企業には、十分な経験のある最高情報セキュリティ責任者（CISO）や大規模なチームを雇用する資金的な余裕はない。そのため、大きい企業から中堅のIT担当者を引き抜いて、セキュリティ部門のリーダーにしようとしているのだ。

　その結果、セキュリティ職の賃金は上昇しており、この傾向は特に初級／中堅レベルのセキュリティ関連の職務で顕著に見られる。業界におけるセキュリティ人材に対する純粋な需要が、人材の供給を上回っているのが実情で、セキュリティ職の求人に対して十分な応募がないという最悪の事態を引き起こしている。

　数値化や証明はなされていないが、全ての業界で広くセキュリティが注目されていることは、長い間セキュリティとコンプライアンス制度が重要なものとして捉えられてきた金融サービスや政府／防衛関連などの市場が払った代償によるものかもしれない。プラスの要素としては、セキュリティ人材の不足から、企業は自社のセキュリティとコンプライアンス制度に注力するようになっていることが見て取れる。また、現状は、セキュリティとコンプライアンスの専門家の転職にかなり有利だといえる。

変わりつつあるセキュリティとコンプライアンス人材

　人材のニーズを満たす方策や戦略は複数ある。一部の企業では、ネットワーク監視、監査、システムの管理といったスキルに長けているチームに対して、セキュリティ人材育成のためのプログラムを設けている。また、セキュリティとコンプライアンスの管理者は調査範囲を広げて、データ分析、アプリ開発、プロジェクト管理、品質保証などのチームからも重点的に人材を採用している。

　これらのチームではセキュリティやコンプライアンス関連のスキルを持つ人材は生まれないかもしれない。だが、多少の正式な研修を行えば、すぐに中堅レベルの働きをするようになる。さらに、セキュリティの機能を分散させたり、サードパーティーのセキュリティベンダーの協力を仰いだりして、人材不足を補おうとしている企業もある。だが、どちらの戦略も、チームやベンダーを監督して管理する人材が必要なため、人材不足を完璧に解消できることはほとんどない。

　セキュリティ／コンプライアンス制度において、テクノロジー、ポリシー、手続きが重要であることを覚えておくことも重要だ。この3つ全てを効率的に実装して維持するには、制度を運用するセキュリティとコンプライアンスの専門家が必要になる。そのためには、全てのGRC（ガバナンスリスクマネジメントコンプライアンス）プロセスを円滑に進められるようにする、さらに工夫をこらした採用活動が不可欠だ。

　どんなセキュリティ／コンプライアンス制度でも、離職者が出て、求人が続くことは避けられない。だが積極性を維持しながら、全ての選択肢を検討すれば、失った人材を埋め合わせることはできる。