セキュリティチームの立ち上げ支援で、対照的な2社を見てきた。2年経っても一人も採れない会社と、1年半で10名弱のチームを作り上げた会社だ。 差は技術力でも予算でも知名度でもなかった。「最初の一人に何を求めるか」の違いだった。
この差は再現性のある話なので、これから体制を作る会社に向けて構造から書いておきたい。
採れない会社がたどる、お決まりの経路
これから組織を作る会社がまず考えるのは「CISOを採りたい」だ。トップを最初に据えて、その下を作ってもらう。組織図としては美しいし、気持ちはよく分かる。ただ、うまくいくケースは極めて稀だ。
CISOを張れる人材は市場にほとんどいない。いたとしても体制ゼロ・情報も揃っていない会社にいきなり飛び込む理由がない。そこで次に「特定分野に尖った専門家はどうか」となるのだが、これも噛み合わない。脆弱性診断だけを10年やってきた方が来ても「診断以外も任せたい。でもそんなに診断案件があるわけでもない」となる。
結局「セキュリティ全般ができて、マネジメントもできて、ゆくゆくはCISOも張れる人」が欲しくなる。その人材はどの会社も欲しいので、当然採れない。 私は「それでは一生採れません」というセリフを年に100回は言っている。厳しい言い方だが他社が誰を採っているかと、候補者がなぜ辞退するかを日常的に見ているから言い切れる。
1年半でチームを作った会社は、何が違ったか
成功した会社が最初に採ったのは、意外な人材だった。「セキュリティ経験は浅くてもいい。インフラの基盤がしっかりしていて、プロジェクトをまとめられる人」だ。
理由は明快で、セキュリティの知識は入社後にも高められるが、ネットワークやサーバといったインフラの土台と、人とプロジェクトを動かすマネジメント力は一朝一夕では身につかないからだ。セキュリティは結局インフラの上に載っている。土台を分かっていて調整ができる人が一人入れば、監視・診断・ルール整備といった各分野の専門家を、その人を軸に一人ずつ埋めていける。実際にそうやって1年半で10名弱のチームができあがった。
「最初の一人」の要件が、その後の全てを決める
この2社の対比から引き出せる構造は1つだ。組織はピラミッドの頂点からでも尖った先端からでもなく、土台から作る。
最初の一人に「完成形の縮小版」を求めると、存在しない人材を探し続けることになる。最初の一人に「土台と接着剤」を求めると、二人目以降の要件が具体的になり、採用は加速する。監視の専門家が要るのか、ルール整備の人が要るのか、最初の一人が現場を見て言語化してくれるからだ。求人票も「セキュリティエンジニア募集」という曖昧な一言から、中身のある要件に変わっていく。
そしてこの要件の置き方は候補者側の景色も変える。「体制ゼロを一人で背負ってください」は重すぎて誰も来ないが「土台を作る最初の一人として専門家を集める側に回ってほしい」ならキャリアとして魅力的な提案になりうる。同じポジションでも要件の置き方ひとつで応募する理由が生まれる。
2年採れていない会社に必要なのは、スカウトの文面でも媒体の追加でもなく、まず「最初の一人」の要件を見つめ直すことだ。自社の状況と市場の現実を突き合わせるところから、セコネは支援している。
※関連記事：「セキュリティ人材が採れない本当の理由」
著者：高田 祥
セキュリティ人材専門の採用コンサルタント。株式会社セコネ代表。
情報処理安全確保支援士（登録番号 第019946号）。上級個人情報保護士。個人情報保護監査人。CompTIA Security+。
セキュリティベンダー・事業会社のセキュリティ採用を、職種設計からスカウト・面接設計まで一貫して支援。採用業務でのAI活用に関する整備支援にも対応。