ジョン・ヘリクソン氏（以下ヘリクソン氏）　要因は数多く存在する。最も大きな要因の一つが、企業文化だ。CISOが次の仕事の面接を受ける際に、よく確認する重要な要素がある。「サイバーセキュリティは自社にとって最優先のリスクで、重視すべきことだ」と、上層部が本当に認識しているかどうかだ。「サイバーセキュリティが最優先だ」と答える企業は少なくない。だがCISOが改善を進めようとすると、大型投資や優先順位を決めるときに、実際には何の後押しも受けられないことがすぐに判明する。

　もう一つの関連要因は、CISOの報告体制と、CISOに割り当てられる権限のレベルだ。CISOの役割がIT部門のカバー範囲内に限定されている場合、IT部門を超えて広がるセキュリティ問題に対処するのは難しい。CEOに直接報告する立場を与えられれば、「セキュリティが社内で真剣に扱われている」と、ある程度は確信できる。残念ながら、そのような立場が与えられることはめったにない。

　CISO自身が包括的なサイバーセキュリティプログラムの欠如を放置していたり、最重要分野の進捗（しんちょく）度合いを経営陣に明確に示さなかったりすることも、長続きしない理由の一つだ。投資や管理が自社に明確な影響を与えていることをCISOが示さなければ、予算の増額やビジネス上の優先順位の見直しを要求することは、年を追うごとに難しくなる。その結果、CISOは別の勤め口に心を動かされるようになる。転職のチャンスという点では、CISOという肩書は権威のある立場だ。採用担当者はこれまでにない高待遇を提示してくるだろう。そうなると、CISOは少なくともその採用担当者の話を聞くことになる。

　職務が長く続かない他の要因として、技術の過度な重視、ビジネスへの識見／配慮の欠如、リーダーシップの経験不足、業務を通じて他者を感化する能力の不足、次のセキュリティ侵害が発生する可能性を考えるストレスなどが挙げられる。

――　CISOとして成功を収める重要な資質とは何でしょうか。メンターはCISOの職務の道筋を支援することはできますか。

ヘリクソン氏　成功を収めているCISOは、業務に積極的に関与している。最近のCISOは主にリスク管理を担当しており、アドバイザーや戦略家としての役割を担う。一方で技術者を陰で支える役割もある。他の経営幹部を加えたセキュリティリスク管理委員会を立ち上げ、業務部門のリーダーと接触を持つのも、成功のために有効な方法だ。

　追加予算の獲得や大規模プロジェクトの支援を促すために、恐怖、不安、疑念（FUD）を植え付けるような古いやり方は、もはや通用しない。CISOはビジネスパートナーとして受け入れられ、業務の変化や脅威に対応できる能力を持ち、チームの一員として動く人材となるべきだ。人やプロセス、場合によっては技術ニーズを改善する意志を持ち続ける必要もある。

　自己啓発も重視すべきだ。大きな影響力を持つ上級リーダーになるには、優れたメンター（指導者、助言者）が不可欠になる。トップクラスのアスリートには、スポーツの専門家や栄養士といったメンターの存在が常にある。当然、CISOにもこうした存在が必要だ。

　CISOは過酷な役割を担うため、上級ビジネスリーダーと同業者の両方をメンターに迎えることが望ましい。企業からのサポートがある場合は、経営幹部をメンターとして招き、リーダーシップや組織的な影響力に関するスキル向上を図る。

――　CISOという職務の最も大きな課題は何でしょうか。

ヘリクソン氏　最大の課題は、自身がCISOに適切な人材だと経営陣に立証することだ。そのためには、企業全体のサイバーセキュリティリスクを効率的に管理し、経営陣と良好な関係を築き、敬意を払われる能力が必要になる。

　CISOは経営陣に対して、ビジネスの目標とサイバーセキュリティの相関関係を示し、サイバーセキュリティの枠組みに基づくセキュリティプログラムに確信を抱かせるだけでなく、コンプライアンス（法令順守）も維持する必要がある。定められたロードマップを提示し、経営陣に脅威やリスクについて定期的に経過を報告し続けると同時に、適切な管理を確実に遂行できるだけの技術力を備えることも重要だ。

　人材と技術の観点から、率先してクラウド移行を支援し、移行を成功させるのに必要な新しいスキルセットを身に付けることも重要になる。技術面では、モノのインターネット（IoT）、人工知能（AI）、オーケストレーション（運用自動化）など、画期的な技術に遅れないようにする。

　これまで6～8年の間に、セキュリティ技術に多大な投資をしてきたとしても、この先も引き続き、これまで以上に力を注ぐ必要があることを、経営幹部に納得させることも課題になるだろう。