CISOとメンタルヘルス【前編】

予算も会話も足りない――CISOのメンタルを窮地に陥れる現場の“リアル”とは

過酷な勤務の結果、バーンアウトに陥るCISOがいる。業務のどのような要素がリーダーを疲弊させるのか。事態が深刻になる前に、個人と企業が打てる手にはどのようなものがあるのか。

公開 2025年08月02日 06時01分

著者

Rosa Heaton

[TechTarget]

印刷する連載新着通知を受け取る

　バーンアウト（燃え尽き症候群）は、長期間にわたるストレスによって感情的、身体的、精神的に疲労した状態を指す。この状態に陥った場合、仕事や趣味に無関心になる傾向がある。

　特にバーンアウトが深刻化しているのが最高情報セキュリティ責任者（CISO）だ。調査会社Gartnerの調査によれば、バーンアウトを一度は経験したことがあると答えたCISOは62％、複数回経験したと答えたCISOは44％だった。同調査は、2023年6～7月、企業で情報セキュリティやIT部門のリーダーを務める178人に実施した調査結果に基づく。

CISOが燃え尽きてしまう理由

併せて読みたいお薦め記事

CISOが知っておくべき脅威のトレンド

原因1．サイバー攻撃の激化

　CISOのバーンアウトの原因として、まず挙げられるのがサイバー攻撃の激化だ。約1万5000件の自動車ディーラーを顧客に抱えるCDK Globalは2024年6月、2度のランサムウェア（身代金要求型マルウェア）攻撃を受けた。被害を抑えるため、CDK Globalは大部分のシステムをオフラインにせざるを得なかった。その結果、自動車販売店やメーカー、顧客に影響が及び、長期的な復旧が必要となった。同年2月には、米国最大の医療費請求処理企業Change Healthcareがランサムウェア攻撃を受けた。この攻撃は病院の業務や収益管理などに広範な影響を及ぼし、Change Healthcareの評判は損なわれた。

　円滑な事業運営、自社のブランドイメージや企業価値の維持、サイバー攻撃による金銭的な被害の回避には、強固なサイバーセキュリティの導入と運用が不可欠だ。しかしその重要性が高まるほど、CISOの業務はますます複雑になる。

原因2．責任の押し付け

　データ漏えいをはじめとしたインシデントが発生すると、自社、取締役会、社会はCISOの言動に目を向ける。CISOは企業のセキュリティ戦略の責任者だ。しかし、データ漏えいはCISOの管理を超えたさまざまな原因で発生する可能性がある。CSIOに非がなくても、責任を追及され、非難を受ける重圧は、CISOのバーンアウトにつながる恐れがある。

原因3．新しい技術の登場

　技術の進化に合わせて、企業は競争力を維持し、イノベーションを促進するために迅速に適応していく必要がある。新たな技術を導入するたびに守るべき領域が拡大するため、CISOは対策を刷新し続ける必要がある。

原因4．脅威の進化

　人工知能（AI）を活用した攻撃は絶えず進化しており、中でもAI技術を用いて事実とは異なる映像や音声、写真を合成する「ディープフェイク」を使った詐欺は深刻な脅威となっている。そうした状況の中で、CISOの仕事は終わりが見えない状態だ。

原因5．長時間勤務

　前例のないリスクと進化する脅威によって業務負荷が増大する中、CISOの勤務時間は長くなる傾向にある。サイバーセキュリティベンダーBlackFogの調査によると、サイバーセキュリティ部門のリーダーの98％は契約時間を超えて勤務し、その平均残業時間は週9時間に上る。週16時間以上残業していると回答した調査対象者は全体の15％だった。本調査は、従業員500人以上を抱える英国と米国の企業各200社に努めるセキュリティ部門の意思決定者を対象に実施したものだ。調査は、BlackFogからの委託で調査会社Sapio Researchが2024年7～8月に実施した。

原因6．企業の支援不足

　コスト削減や支出制限を重視している企業では、CISOがセキュリティ予算を新たに獲得することは困難だ。従業員がセキュリティトレーニングに非協力的な場合、CISOは実効性のある対策を打つための理解も協力も得られなくなる。セキュリティ研究機関IANS Researchと人材会社Artico Searchによると、年間売上高が4億ドル未満の企業では、CISOの42％が取締役会との会議を定期的には実施しないか、全く実施していないことが分かった。本調査は、2024年4～11月、さまざまな規模、所在地、業界の企業に勤めるセキュリティ部門のリーダー830人を対象に実施したものだ。