Equifaxの個人情報流出事件で紛糾した議論

セキュリティ責任者にはコンピュータサイエンスの学位が必須？

Equifaxの個人情報流出事件で、同社のCISO（最高情報セキュリティ責任者）が音楽の学位を修めていたことが批判を浴びた。情報セキュリティのプロフェッショナルがどのような教育を受けているべきか、専門家の見解は。

公開 2018年04月13日 05時00分

更新 2018年04月13日 14時22分

著者

Rob Wright

[TechTarget]

印刷する

　データ漏えい事件が見出しをにぎわせ注目を集め続けている中で、CISO（最高情報セキュリティ責任者）たちの職歴や学歴、取得している資格などといった経歴が白日の下にさらされるようになった。

　この出来事がきっかけとなり、情報セキュリティのプロフェッショナル、特にCISOがコンピュータサイエンスの学位を修めている必要があるかどうかに関する議論が巻き起こっている。この議論の直近の例として、2017年に大規模な情報漏えいを起こしたEquifaxのCSO（最高セキュリティ責任者）のケースが挙げられる。この信用格付け機関であるEquifaxのCSOであるスーザン・モールディン氏がコンピュータサイエンスではなく音楽の学位を修めた人物であることが報じられ、同氏には批判が浴びせられた。

　これ以後、コンピュータサイエンスの学位を持っていない情報セキュリティのプロフェッショナルが多く存在することが指摘されてきたが、国際情報システムセキュリティ認証コンソーシアム（ISC）²のCEOであるデイビッド・シアラー氏は「コンピュータサイエンスの学位は価値があることもあるが、必ずしもCISOに就任するための要件とする必要はなく、その他の教育や訓練のリソースを用いたり、職務経験を積んだりすることによって、特定の職務に必要なスキルが身につくこともある」と考えている。シアラー氏が話してくれたこの議論や、CISOとしての資格に関する彼なりの考えをここで紹介しよう。

デイビッド・シアラー氏のコメント

　EquifaxのCISOが音楽の学位を取得していたことを多くの人が非難した。非難には一理あるだろう。しかし、科学的に言って、音楽にはかなり数学的な側面がある。音楽は非常に分析的なのだ。

併せて読みたいお薦め記事

サイバー攻撃を恐れるITリーダーたち

セキュリティ人材不足にどう対処するか

　情報セキュリティのプロフェッショナルである人の多くは異なる経歴を持っている。私はそこを非難しようとは思わない。

　私はサイバーセキュリティの思想的リーダーとして、また（ISC）²のような組織の統括者として、CISOについてその周辺事情をよく知りもせずにCISOに責任を押し付けるのは早計ではないかと思う。ビジネスの慣例では、CSOは指揮権限や管理権限を持っていなかった可能性がある、という主張もあるようだ。

　個人的には、この（批判の）流れに乗って「彼女（スーザン・モールディン氏）にはCSOとしての資格がない」と言うのは気が進まない。私は彼女について、または彼女の周辺事情について十分に把握していない。今回の情報漏えい後に、信用情報の監視をするためとして、詐欺的なWebサイトを立ち上げたことに彼女が関わっていたのだろうか。Webサイトの利用者が同社に対して、どのような形であれ集団訴訟を起こしてはいけないと読み取れるようなWebサイト利用規約の責任者だったのだろうか。CISOの責任ではなかった可能性さえある。

　以前、CIO（最高情報責任者）の職務でも同じことがあった。コンピュータサイエンスの学位など技術的な背景を持っていなくてもCIOの職務に就く人はたくさんいる。これらの人の成功度合いはさまざまだ。自分の周りの人たちがうまく仕事の補助をしてくれると信頼でき、自身がしっかりと指導者の役割をこなせば、技術者でなくともCIOとして成功できると私は思う。

　私は今でも、今回議論になっている主張は幾分危険な主張だと思っている。この職務（CIO）で長年働いてきて、常に学位があったからこそ技術面で一から今の地位まで上ることができた。しかし、私に必要だったことは、上に立つ者としてのスキルやリーダーシップのスキルを獲得したり、技術スタッフを統括する方法を学んだりすることだった（注1）。

※注1：シアラー氏は（ISC）²の前は、米国内務省の副CIOと米国農務省国際技術サービスの副CIOとして働いていた。

　このことはCISOの職務についてもいえる。過去に異なる学位を取得してからこの職務に就く人もいる。成功するかどうかは本当に成り行き次第だ。この職務に就いてからゼネラリストになり、うまく全てを統括できる人がいるだろうか。（コンピュータサイエンスの）学位を持っていない人が目覚ましい仕事をするという例外も常にあると思う。私はそういう人によく会う。私たちの取締役会にも、学位は持っていないが資格は持っていて仕事をうまく進める人はいる。

　「全ての人が適した学位を持っている必要がある」と言うのは本当に難しいと思う。10代またはそれよりも若い頃からコーディングを始めた人で、一兵卒から上り詰める人もいる。彼らは非常に優秀な人たちだ。しかし、業界全体の職務を、そのように非常に優秀な少数の人たちで埋めることができるだろうか。答えは、ノーだ。

　こういう場面でこそ、資格認証機関、そしてさらには正規の学校教育でさえもが効果を発揮するところだ。そのような機関の認証を受けた人なら「仕事がどうなっているかをある程度理解している」という一定レベルの確証が持てる。

　「全てのCISOがCISSP（認定情報システムセキュリティプロフェッショナル）資格を持っている必要がある」と言っているわけではないが、職務の候補者が少なくとも、企業のセキュリティ全般の本質に触れているということを採用担当者が一定レベル確証を持てるように努めている。CISSPを持っているからといって、セキュリティの全ての面でエキスパートであるとは考えない。CISSPはこの問題を確実に解決するものではない。認証機関を運営している人から見れば、恐らく理解し難いかもしれないが、私たちは自分がセキュリティに完璧に精通したプロフェッショナルでないことは正直に認める必要がある。

印刷する