米ヘルスケア管理サービスMagellan Health ServicesのCISO、ジェリー・ガーランド氏は、セキュリティに関する幅広い知識を持つ人材を探している。ガーランド氏は、こうした知識をチェックできる最適な方法がCISSP試験だと考えている。

　米ノースカロライナ州の保健社会福祉省で情報セキュリティアーキテクトを務めるジム・マーフィー氏も同意見だが、さらにこう付け加える。「CISSPが最も包括的であり、業界内でも広く認知されている資格だが、リスク管理とコンプライアンスに関しては、情報システム監査コントロール協会（ISACA：Information Systems Audit and Controls Association）の情報システム監査専門家の認定資格『CISA（Certified Information Systems Auditor）』と、情報セキュリティ管理者の認定資格『CISM（Certified Information Security Manager）』も取得する価値がある」

　ベンダーがスポンサーになっている認定資格は、一般的に特定の製品を重視しているため、仕事の内容にもよるが、ある程度偏った見方がされることは否めない。米コネチカット大学情報セキュリティディレクターのトーマス・マーフィー氏は、「ネットワークのセキュリティとアーキテクチャに責任を持つ人々は、ベンダーの認定資格にも敬意を払うべきだ」と語る。一方、ジム・マーフィー氏によると、ベンダー認定資格はスキル向上の手段ではあるものの、情報セキュリティ全般の熟達度を測るものではないという。

　米ロサンゼルスにある教育コミュニティー、Stephen S. Wise Temple and Schoolsの最高情報セキュリティ責任者（CISO）であるデビッド・ラム氏は、「一部のベンダーは、容易に取得でき、あまり意味のない認定資格を作っている。だが中には、求職活動に有利になるような高い習熟度を証明できる資格もある」と指摘する。

　クラウド専業ベンダーである米CovisintのCISO、デーブ・ミラー氏は、最新のトレンドに応じて実践的なトレーニングを提供する「Black Hat」のような国際的なセキュリティ会議にスタッフを派遣することが多いとしつつ、「米Cisco Systemsの製品など、特殊な技術が使われている製品に特化した認定資格を取得することは、それなりの意義がある」と見る。

業種業態によって資格への考え方が多様化

　金融サービスなど高度に規制された業界は、取得が望ましい認定資格が数多くあるため、資格の選定が重要になる。「政府部門でキャリアを積もうと考えるなら、セキュリティ認定プログラムに注意を払うべきだ」と、米ジョージア州立大学のCISOであるタミー・クラーク氏は示唆する。同氏によると、ここ最近、高い教育を受けてきた同僚たちの多くがCISSPを取得しているという。

　ミラー氏が勤務するCovisintは、医療産業やヨーロッパのクライアントにクラウドサービスを提供している。同社は、米国の医療保険の相互運用性と説明責任に関する法令である「HIPAA（Health Insurance Portability and Accountability Act）」や欧州連合（EU）のデータ保護規制に精通したアナリストたちを雇い入れて、セキュリティ部門を強化した。

　規制に関する枠組みが整備されるとともに、今後、セキュリティに対する要求は多様化が進むと思われる。

資格自体の変革も必要

　情報セキュリティを先導する人々の間で形成されつつある総意は、従来とは異なる認定資格をスキルセットに追加する必要があるということだ。トーマス・マーフィー氏やクラーク氏は、米国プロジェクトマネジメント協会（PMI）によるプロジェクト管理に関する国際認定資格「PMP」が有益だと考えている。PMPを取得した人材は、セキュリティプロジェクトをより効率的に実行するためのスキルを持つだろうと両氏は期待する。

　米ヘルスケアサービスのYale New Haven Health SystemsでCISOを務めるスティーブ・バートロッタ氏は、医療産業におけるマネジメントの実務経験をFACHE（米医療業界のエグゼクティブによる学会）の認定資格で証明できると話す。

　また、米ヘルスケア管理サービスMagellan Health ServicesのCISOであるジェリー・ガーランド氏は、人材開発プログラムの認定を受けるエグゼクティブたちがもっと増えるべきだと考えている。人材開発プログラムは、国際的な性格検査「MBTI（Myers-Briggs Type Indicator）」の判断を手掛けるCPPなどが提供する。

資格は絶対ではないが、選考方法は変わらない

　履歴書と、検索エンジンに最適化されたLinkedInのプロファイルが支配する世界にあって、一般的なリクルーターたちは、有能な人材を選別する時間もなければ技術も持たない（参考：新しいナレッジマネジメントが実現する「ネット職縁社会」）。結局、キーワードやフレーズで検索をかけることになり、その際に選別を容易にするのが認定資格だ。

　認定資格をベースとした選別の仕方は、確かに現実的な方策ではある。ただし、不公平な要素を多分に含むため、最終的には業界にマイナスの結果をもたらすだろう。採用担当者は相応の経験を積んだ人材を発掘したいのであり、認定資格のリストを絶対的な基準にして選ぶわけではない。だが、彼らは求職者たちへのアプローチを変えるつもりはない。今後も認定資格が情報セキュリティの文化に根を張り続けることになるだろう。

　将来的には、情報セキュリティ市場に特化した有望な人材と長期的な関係を構築できるリクルーターが現れるかもしれない。そうなれば、スキルや経験を備えた有能な人材と求人条件を効率的にマッチングさせる手法が定着し、採用責任者も日常業務に専念できるに違いない。