――長年、学外で若手人材の育成にも携わられていますが、セキュリティ人材が不足している現状についてはどうお考えでしょうか。
現在、日本では組織の即戦力となる人材が求められており、本学も2008年頃から実践的なセキュリティ人材を育成するプログラムを実施しています。学生だけでなく社会人向けのニーズも高いですが、さらなるテクノロジーの進化を見据えると、業界全体でもっと急ピッチで取り組まないと間に合わないのではと危惧しています。
なぜなら、セキュリティチームで活躍できるような一人前の人材を育てるには、私の経験上、5年はかかるからです。CISO人材となると、15年は必要でしょう。しかもセキュリティ業界は人材の流動性が激しい。「5人育てて1人残ってくれたらいい」くらいの意識で、次世代を担う人材をできるだけ多く育てていく必要があるのではないでしょうか。
重要なのは｢平時にどう準備できるか｣
――昨今のサイバーセキュリティを取り巻く状況を、どのようにご覧になっていますか。
一番気になっているのは、サイバー攻撃の被害に世の中が慣れてしまっていること。「100万件の情報漏洩」とニュースで報じられても、もはや何の驚きもない。企業側の謝罪にもさほどの深刻さが感じられないケースが増えており、組織のブランドや信頼をゼロにする重大な問題であることを理解していないのではと感じます。
また、AIが進化して危険な脆弱性を発見するなどと話題になっていますが、コンピューターなのでそのあたりが得意なのは当たり前ですよね。AIの動向も大切ですが、それよりも脆弱性を前提に、すでにサイバー攻撃が起きているものと想像して平時にどれだけ準備できるかが大事だと考えています。
だから、日頃から報告しやすい文化がないといけません。もしインシデントが起きたらすぐトップに話を通さなければいけないわけですが、「報告したら怒られる」「株価が」などともたもたしている間に状況が悪化してしまう。本来、対応に何カ月もかかることなどあってはならないのです。
日頃からお金をかけるべきところはかけて対策をしておくこと。お金をかけなくても、連絡網や復旧手順などのマニュアルも作れます。分厚いものではなく、数ページのものでもいいんです。そのほか、相談しておく、横のつながりをつくっておくなどもできるはずです。企業や病院などのインシデント調査にも関わり、たくさんの事故を見てきて思いますが、重要なのは日頃の準備です。
