ITセキュリティネットワーク企業のT.E.N.でCEOを務めるマルチ・マッカーシー氏は次のように話す。「高度なセキュリティスキルを持つ人材が不足しているため、その需要は高まっている。だが、多くの企業は人材を雇用できずにいる。なぜなら、給与や福利厚生に影響する企業の方針は、人材不足を解消できる速度で進化していないからだ。多くの企業にとって、あらゆるレベルの人材を確保していることは、重要な問題になる。特に、プレッシャーが重くのしかかり、技術とビジネスの両面で判断力が必要になる幹部職を確保していることが大切だ」

　マッカーシー氏がいうように、雇用が難しいのは予算が原因というわけなく、企業が給与の支払いを渋っているからセキュリティスタッフが不足しているとは限らない。そのギャップはあまりに大きく、給与が問題になるとは考え難い。

　セキュリティベンダーのVenafiで最高情報責任者（CIO）と最高情報セキュリティ責任者（CISO）を務めるタミー・モスキテス氏は、米国で2015年10月に開催した「ISSA International Conference」で次のように語った。「業界には、100万件を超えるセキュリティ職の求人がある。技術職とエンジニアリング専門職の情報を掲載するキャリアWebサイトにDiceがあるが、Diceを運営するDHI Groupが最近報告したところによると、2015年のセキュリティ職の求人件数は前年比90％と増えている」

　この結果から推測するに、業界は人材不足を解決するには間違った方向に進んでいるようだ。セキュリティの人材に対する需要は増加しており、企業が求める数を雇用する作業は長期化している。市場調査会社のIDCとT.E.N.が合同で2015年9月に行った調査によれば、初級レベルのセキュリティ職の人材を雇用するのに、およそ3カ月を要している。

　「セキュリティの上級幹部職が12～18カ月以上空席のままになっていることが多い現状も調査で明らかになった。幹部職レベルのセキュリティ専門家がいないと、企業が損害を被るリスクは高まる。それは、コスト上昇や企業ブランドへの悪影響という形で現れる。全てのレベルで、人材不足を解消する必要があるが、雇用できたスタッフが仕事をできるようになるまで最低5年はかかる」（マッカーシー氏）

　この難題に対処するには、セキュリティ人材の育成供給体制を復活することが不可欠だ。そのためには、予算編成も必要だが、他にも考慮すべきことがたくさんある。技術力のあるセキュリティ専門家を増やすために必要な方法を以下に紹介する。

セキュリティの仕事がどれだけ魅力的なのかをアピールせよ

　セキュリティ専門家の供給と需要における最大のジレンマは、圧倒的な供給不足にある。十分な供給がなければ、供給を増やす方法を考え出すしかない。注力すべきは、より多くの人々にセキュリティ職に関心を持ってもらうことと、この分野の業種に転職する、または、志望を変えるメリットを分かってもらうことだ。

　一方で、最大の懸念事項の1つが、IT業界への就職を検討する多くの大学生が“セキュリティ”とは何かをあまり理解していないことだ。学生に情報セキュリティに関心を持ってもらうことは容易でない。なぜなら、セキュリティ業務の詳細について学生が知る機会がほとんどないからだ。学生は「セキュリティ」という言葉は知っているもの、インフラセキュリティ、システムセキュリティ、アプリケーションセキュリティ、プログラム管理、さらにはマーケティングとコミュニケーションとの間にある違いを理解していない。

　この問題を克服するには、セキュリティの専門職とは何か、そしてセキュリティの専門職が何を行うのかについて、学生が理解するよう業界が後押しする必要がある。

　「ほとんどの人は、セキュリティの専門家が単なる技術職で1日中PCの前に座っていると考えている。学生はセキュリティの専門職について、その業務の面白さや学ぶべきことを知らない。それから、セキュリティの業務で必要な知識と大学で学んでいることがどのように関係するのかも分かっていない」（モスキテス氏）