例えば、家に侵入されて大切な宝石を盗まれたとしよう。数年後にその犯人を雇って家の警備を任せたり、その犯人から宝石を買ったりしたいと思うだろうか。

　セキュリティ専門家に華麗な転身を遂げた元ハッカーとして最も有名なのは、ケビン・ミトニック氏だろう。彼はコンピュータと通信関連の犯罪で1995年に逮捕され、世間の注目を集めたことで最も良く知られている。2000年以降、ミトニック氏はセキュリティコンサルタントとして活動し、公演や執筆活動を行っている。さらに、フォーチュン500に名を連ねる企業や連邦捜査局（FBI）に対してセキュリティコンサルティングサービスを提供したり、世界有数の巨大企業で侵入テストサービスを実施したりしている。また多くの企業や政府機関でソーシャルエンジニアリングに関する講義を行っている。ミトニック氏は更生し、違法なハッキングやコンピュータ犯罪への対策に貢献しているといえるだろう。彼の手法については倫理性を疑問視する声もある。彼の手法がなければ、クライアントは手に入れることができなかった洞察を手に入れているからだ。

　元ハッカーを雇って自社の情報セキュリティプログラムを強化して発展させる戦力にする前に、考慮すべきことが3つある。それは、「倫理」「認識」「倫理的なハッカー」についてだ。

　大抵の雇用主は、新たな雇用者に犯罪歴があるかどうかを確認する。採用候補者に、ハッキング、セキュリティ侵害、詐欺行為への関与や、こうした行為に起因する前歴や前科があれば、その候補者は採用されないだろう。このような人の倫理観が問題になる場合もある。情報を極秘で取り扱うことが求められる政府機関や企業にサービスを提供する場合、元ハッカーはその業務に参加できないかもしれない。さらに、信頼性という問題が常に付いて回るだろう。セキュリティ侵害が起きるのは、金銭目的または個人的な満足のためにハッカーが管理の弱点をついてセキュリティシステムを撃破するからだ。そのため、企業にとって、新たに雇用したハッカーが、そのような行為を再び行わないと信頼するのは難しいかもしれない。そのため、企業が元ハッカーを雇う前には、その人物の倫理観に問題がないかどうかを慎重に検討しなければならない。

　それから、認識についての問題がある。元ハッカーをセキュリティコンサルタントとして雇えば、注目が集まり、報道される可能性もある。恐らく、これが経営陣の目的だろう。経営陣は、真剣にセキュリティ対策に取り組んでいることを、関係者、パートナーおよび顧客に伝えたいのかもしれない。また、サイバーセキュリティの専門家をさまざまな場所で探し回った結果、企業の非常に特殊なデータ保護についての要求を満たすことができる専門家が見つからず、元ハッカーを採用するに至ったという印象を与えたいのかもしれない。

　これらは世間に伝えられるメッセージのようなものだが、実際の動機は認識を管理することである。そして、認識は実際に管理できるだろう。経営陣は、慎重な姿勢を見せながらも感銘を受け、関係者は勇気付けられ、顧客は安心するだろう。他にも影響を受ける人がいる。それは従業員だ。従業員へのメッセージは、彼らだけでは会社の要求を満たすのは不十分で、彼らのスキルセットは目標を達成するのに十分ではないということになる。社内に元ハッカーと一緒に働くことを受け入れるサイバーセキュリティ担当者がいない限り、新たにチームを形成できるだけのフルタイムで働く従業員を雇わなければならないだろう。

　注意すべき重要な点が1つある。それは、元ハッカーたちは単に違法な行為に及んだだけではなく、逮捕されて有罪判決を受けたということだ。逮捕された事情が何であるにせよ、彼らの手法が完全ではなかったのだ。サイバーセキュリティの専門家、資格と終身在職権を持つ専門家や学者など、倫理的なハッカーの方が優秀な成績を収めることはできないのだろうか。その可能性はある。最高情報セキュリティ責任者（CISO）や身分が保証され経験豊富なサイバーセキュリティの専門家を雇用する目的で、ハッキングカンファレンス「DEFCON」に足を運ぶことはないだろう。採用候補者の学歴、資格、推薦状やこの職業に必要な知識や経験を検討しながら採用プロセスを進めるのが一般的だ。そして、情報セキュリティのプログラムと目的をサポートするのに必要なスキルかそれを上回るスキルを持つ候補者を採用するであろう。熟練したサイバーセキュリティの専門家は不足しているかもしれないが、いないわけではない。

　罪を犯した全てのハッカーに犯罪を繰り返す傾向が見られるわけではない。ミトニック氏は、元ハッカーが善良なハッカーに転身した最初の例だろう。企業は、採用したい人材を自由に選ぶことができる。これには元ハッカーも含まれる。どのような規則にも例外はある。だがミトニック氏や更生した犯罪者である元ハッカーをフルタイムの従業員として雇うのは好ましいことではない。その理由は、信頼に関わる問題だけにとどまらない。端的に言うと、元ハッカーは犯罪者だからだ。いずれは、元ハッカーをフルタイムで雇用したことが顧客やパートナーに知られることになる。選択の余地があるなら、適切で入念な審査を通して、有能で経験のある候補者を雇用した方が良いだろう。