戦略1．SOC担当からのステップアップ

　SOC（セキュリティオペレーションセンター）で働くサイバーセキュリティアナリストのようなエントリーレベルの職務に就いており、中間レベルの役職へ移りたいのであれば、複数の資格を取得するのが最善策だ。特に「Certified Information Systems Security Professional」（CISSP）や「Information Systems Security Architecture Professional」（ISSAP）など、サイバーセキュリティのアーキテクチャや戦略を設計する能力を証明できる資格に重点を置くとよい。中間レベルや上級レベルの職務では、ツールの操作方法や脅威への対処能力よりも、サイバーセキュリティの設計と戦略に関する理解度が重視される。

戦略2．上級職への近道の模索

　上級のサイバーセキュリティ職に就くための最も直接的な方法は、下位レベルの役職である程度経験を積み、上級職の求人が出たときに競争力を発揮できるよう備えることだ。

　もし上級レベルへの昇進を早めたいのであれば、スタートアップ（新興企業）でサイバーセキュリティ職を探すという戦略がある。スタートアップや設立間もない企業は、上級のセキュリティ担当者を採用する際に、大企業ほど経験年数や正式な資格にこだわらない可能性がある。特に、応募者がサイバーセキュリティ戦略について臨機応変に考えることができる能力を示せれば、その傾向は強まる。

　ただし欠点もある。スタートアップは、すでに経営が安定している、確立された企業よりも給与が低くなる傾向があり、報酬が株式の形で支払われることもしばしばだ。もし企業の経営が失敗すれば、その株式を現金化できない可能性もある。だがスタートアップで数年間、上級のセキュリティ職として成功を収めることができれば、その経験を生かして、より安定した企業で同様の職に応募することも可能だ。

戦略3．CISOへの飛躍

　ほとんどの企業には経営幹部レベルのサイバーセキュリティ職が1つか2つしかないため、この役職に就ける専門家はごく一部だ。CISOやそれに類する役職を目指すのであれば、多様な認定資格を取得することが最善のアプローチになる。学士号、情報セキュリティまたはそれに関連する分野での修士号や博士号の取得も計画に含めることが望ましい。

　CISOになりたいのであれば、経営幹部との関係構築も重要だ。理想的には、現在の上級サイバーセキュリティ職務を通じて、経営幹部と定期的に交流することだ。これは、人脈が仕事の機会を見つけ、追求するのに役立つからというだけではない。経営幹部のように話し、振る舞うことが、CISOには不可欠なスキルだからだ。そうしたスキルは、どのようなトレーニングや教育よりも、経営幹部との交流を通じて自然に身に付けるのが最も効果的だと言える。

「セキュリティのプロ」としてキャリアアップする近道

　これまでに紹介したシナリオに加えて、以下のヒントは、現在の役職にかかわらず、自身のサイバーセキュリティのキャリアを前進させるのに役立つ。

ヒント1．トレンドを追いかけつつ基礎を固める

　技術の進化に伴って、サイバーセキュリティのトレンドも変化する。近年は人工知能（AI）技術のセキュリティリスクが話題になっている。このようなトレンドに合わせて、自身のサイバーセキュリティスキルを常に最新の状態に保つことが重要だ。一方で、システムやネットワークがどのように機能するのか、脆弱（ぜいじゃく）性、リスク、脅威の違いは何かといった、サイバーセキュリティの核となる概念を根本的に理解することも同じくらい重要だ。どのシステムや技術を扱っていても、これらの知識は常に基礎になる。

ヒント2．ITの基本を理解する

　基礎的なサイバーセキュリティの概念を習得することに加えて、IT全般のスキルをしっかりと身に付けておくことも、サイバーセキュリティ分野におけるキャリアにとっての鍵になる。ソフトウェアエンジニアリングの仕組み、IT管理者の業務内容、企業におけるデータ管理の方法などを把握しておくべきだ。採用候補先の企業にこれらの知識やスキルを証明するために、サイバーセキュリティ分野以外の一般的なIT認定資格を取得することにも価値がある。

ヒント3．特定のシステムに依存しない資格を取得する

　一部のソフトウェアベンダーやクラウドベンダーは、自社の製品／サービスや技術に関連した認定資格を提供している。こうした認定資格のような、特定のベンダーの製品／サービスや技術に縛られない資格を取得するのが最善だ。将来の雇用主が使用していない技術に焦点を当てた資格は、重要度が低いと見なされる可能性があるからだ。

ヒント4．隣接分野の役割も検討する

　現職からステップアップすることだけが、キャリアアップの唯一の方法ではない。リスク管理、コンプライアンス、ネットワークエンジニアリングといった、サイバーセキュリティに近いながらも異なる分野の職務に移る人もいる。サイバーセキュリティに隣接する役割に目を向けることは、舞い込んでくる求人の数を増やすことにつながる。ストレスや業務の多さといった点でサイバーセキュリティの仕事が好きではないが、これまで培ったセキュリティのスキルと経験を生かし続けたい場合にも良い選択肢になる。

ヒント5．ソフトスキルを軽視しない

　職務経験や認定資格を通じて技術的な専門知識を示す能力は、サイバーセキュリティで成功するために不可欠だ。同時に、社内の人々と関わることに焦点を当てたソフトスキル（明確な評価基準のない定性的なスキル）も重要だ。新たな仕事の機会を追求する際には、チームの一員として働いた経験、チームを指導した経験、率先して取り組みを主導した経験を強調しよう。これらは全て、ソフトスキルの習熟度を反映するものだ。

ヒント6．公開プロフィールを作成する

　サイバーセキュリティの専門家としてプロフィールを見える状態にしておくことは、特に上級レベルでのキャリアアップに役立つ。これは単に、ビジネス特化型ソーシャルネットワーキングサービス（SNS）「LinkedIn」のアカウントを持つということではない。以下は自身がサイバーセキュリティに深い経験と情熱を持つ人物であることを公に示す方法の例だ。

• セキュリティ関連のカンファレンスで発表する
• セキュリティ関連の記事を執筆する
• 脆弱性を報告した人に報奨金を支払う制度「バグバウンティプログラム」に参加する
• サイバーセキュリティツールを開発するオープンソースプロジェクトに貢献する