CISOがビジネスの影響力を持ち、経営陣の一員として求められるようにするには、技術的な知識だけでは不十分だ。CISOは、ビジネスがどのように動いているかを理解する必要がある。CISOにとって重要なのは、セキュリティのリスクや技術を、他の分野の担当役員が理解しやすい言葉に翻訳する能力だ。

　IT人材紹介会社Heller Search Associatesマネージングディレクターのケリー・ドイル氏は、「CISOとして企業全体を理解しなければならない」と指摘する。MBAを取得することで、ビジネスの基本を学び、財務やコンプライアンス（法令順守）、マーケティング、人事などの知識を身に付けられる。「CISOは今、セキュリティ専門家よりも『ビジネスパートナー』として求められている」（同氏）

　CISOや、将来CISOを目指す人は、MBAを取得する過程でさまざまな人脈を築き、ビジネスのネットワーク（人脈網）を構築できる。専門知識に加え、こちらもMBAを取得する大きなメリットだと言える。

　近年、デジタルトランスフォーメーション（DX）やAI（人工知能）技術の導入といったトレンドが、経営者や取締役会にセキュリティリスクをより深く理解するよう圧力をかけている。そうした中、企業は全体的なビジネス戦略の文脈でリスクを理解して対策を講じられるCISOを求めている。

　「セキュリティの強化は、企業のビジネス課題になっている」と、自動車技術を手掛けるMarelli HoldingsのグローバルCISO、クリスティ・フォシ氏は述べる。同氏は、テレワークが普及したことによって認証情報の管理やアクセス制御が喫緊の課題となり、大規模なランサムウェア（身代金要求型マルウェア）攻撃の多発も相まって、企業の経営者はセキュリティの重要性を認識するようになったという。

　これによって、特に大規模な企業におけるCISOの報告ラインにも変化が生じている。ドイル氏によると、より多くのCISOがCEOに直接報告するようになった。最近、CISOが取締役会に直接プレゼンテーションするケースも広がりつつあるという。

　CISOが「製品」と「経営」の両方のセキュリティを担当する企業では、MBAの重要性が増すと、船舶用エンジンなどを開発するBrunswickのCISOジュリー・マイヤーホルツ氏は説明する。同社は自社製品にITを取り入れることが広がっており、ITの安全をいかに守るかが製品の品質に直結する。そのため、CISOは「製品とビジネス全体を理解し、コスト効率の良い方法で製品を保護することが重要だ」と同氏は語る。

　CISOは、ITが組み込まれた製品がもたらすリスクの影響を予測し、それらのリスクを製品開発チームに伝える能力が重要だ。MBAの取得はリスクの影響を分かりやすく説明し、安全な製品設計に伴うコストを定義するスキルを向上させる。CISOはMBAの取得によって企業で重要な役割を果たせば、給与が上がる可能性もある。

いつMBAを取得すれば良いのか

　CISOがMBAを取得するタイミングについてはさまざまな見解がある。一般には、セキュリティの実務経験を積んでからMBAを取得することが推奨される。こうしたタイミングだと、自分のキャリアの方向性やMBAから得たいスキルが明確になっている。コンサルティング企業Duhaの創設者兼CEOを務めるアンディ・エリス氏は、「キャリアの後半でビジネススクールを通じてMBAを取得することがベストだ」と説明する。

　Brunswickのマイヤーホルツ氏は約10年の実務経験を経てMBAを取得した。同氏はエグゼクティブチームの一員になり、ビジネスの運営方法をより深く理解したいと考えていたからだ。「実務経験を持ってMBAを始めることが重要だった。実務経験によって教室で学んだことに関する理解を深めることができた」とマイヤーホルツ氏は振り返る。

　一方で、MBAを早期に取得することを推奨する意見もある。まだセキュリティの実務経験があまりなくても、ビジネスの仕組みを学び、リスク評価や社内コミュニケーションのスキルを身に付けられるからだ。「40歳までMBAを取得しない場合、約20年間、その経験を仕事で活用できなかったことになる」とみる人もいる。