個人情報漏洩事件が後を絶たない。こうなると「セキュリティ人材が欲しい」「でもいない」と決まり文句のように聞く。違う、いるのだ。ただ企業がそもそものセキュリティを分かっておらず「何でもできる、どこにもいない人」を探しているから見つからない。
事故が起きてから探し始めても入社まで半年は普通にかかる。その間にも漏洩に気づかない、気づいても防げない、対応が分からない、対応中だがうまく対処できないということがある。「採用したらどうにかなる」と待っていられる話ではない。
アプリやインフラなら「いたら苦労しない」と分かるのに
例えばアプリケーション人材で「Javaの基本が分かりGoも書けて、プロダクトの責任を持ったことがあってチームのマネジメントができる人」と言ったら「いない！」と思わないだろうか。
インフラ人材で「CCIE持っててLPIC3持っててAWS全冠王で顧客折衝もできる人」と言ったら「いたら苦労しない」と思うだろう。ネットワークもLinuxもクラウドも深く分かり、さらに顧客折衝まで求めているのだから。
ところがセキュリティになると「うちに穴がないか分かる人」「どんな対策をしたらいいか分かる人」「やられたときに適切な対処ができる人」を一人に求め始める。
これらを複数経験している人はいる。しかしインフラもアプリも組み込み機器もあらゆるシステムの穴を見つけて対策を考え、事故対応まで全部を一人でこなす前提なら無理がある。一つでも難しいし、その穴がどこにあるのかによって経験は全然異なる。
アプリやインフラの採用なら分かる話なのに、セキュリティ人材になると急にハードルが上がる。セキュリティと一言で片づけるから、何でもできる人を求めてしまうのだ。
SOCも脆弱性診断も、その中でさらに分かれる
セキュリティの監視・分析をするSOCでも仕組みを構築する人とアナリストでは仕事が違う。その取り組みを社内で推進する人も違うし、アナリストでもTier1・2・3と担当する深さが分かれる。
Tier1でもネットワークの経験がある人と未経験の人では違う。同じ「SOC経験者」で丸めたところで、採用したい仕事と経験が合うとは限らない。
穴がないかをチェックする仕事も「脆弱性診断」と丸めるだけでは分からない。Web診断なのかスマホ診断なのか、IoT機器なのかPF診断なのか。PFはサーバーやネットワークなどの基盤を指す。同じ診断でも対象が違えば必要な経験は違う。
アプリケーションだってインフラだって細かく分かれる。アプリやインフラの数だけ、職種の数だけ裏側で増えるのがセキュリティなのだ。
そこに「金融業界経験」「事業会社経験」を求め始めたら針の穴を通すような話になり「大卒以上」「英語が得意」といった採用条件まで足すとさらに狭くなる。
専門領域を細分化し経験や採用条件まで掛け合わせれば100通りは軽く超える。「セキュリティ」という一つの職種があり、その人を一人採れば済むという話ではない。
5つの領域を経験している人を「凄い」と採れるか
そのうち5つや10の領域を経験している「超優秀な」人材はいる。要は採用する側が多くを求め過ぎず、その専門性を「凄い」と評価して採用できるかどうかだ。
全部できる人を探し続けるより、まず今必要な専門性を持つ一人を採れるだけでも違う。事業会社なら分かる人が社内に一人もいないことだってある。強みは5つの領域という人も薄くなら20ぐらいは分かっていて、そういう人が5人集まれば大体どうにかなる。
「うちに穴がないか分かる人が欲しい」のであれば、どこの穴を見てほしいのか。「やられたときに対処できる人が欲しい」のであれば、原因を調べる仕事なのか社内外の対応を進める仕事なのか。そこを分けないまま一人で全部できる人を求めるから「いない」となる。
「今やられた、すぐ欲しい」でも入社まで半年かかる
これは内定を出すまでの話ではなく、採用を始めてから入社するまでの話だ。私の採用現場での感覚では半年は普通にかかる。3カ月で入社までたどり着けたら奇跡だと思う。
まず候補者が選考を受け始めるまでに時間がかかる。セキュリティの方は腰が重いというか慎重なので、声をかけたらすぐ受けてくれるわけではない。
そのうえで面接が2回あれば日程調整を含めて1カ月半。退職交渉と有休消化も含めると、内定後に入社まで2カ月かかることも普通だ。候補者を探すところから考えれば「すぐ欲しい」と言ってから半年後というのは珍しくない。
この半年の間に漏洩に気づかないのが最悪だ。気づいたとしても防げない、対応が分からない、対応中だがうまく対処できないということがある。入社日を待っている間も事故への対応は止められない。
そして半年後にようやく入社してきた時にも事故が解決していなかったらどうか。その一人に全部を背負わせれば、辞めたくなるし辞める。病むことだってある。
ようやく採れた超優秀な人に、入社前から続いている問題のすべてを任せる。そんな採用を繰り返していたら「人がいない」という話は終わらない。
技術だけでなく「謝罪の天才」だって必要になる
そもそもやられないように防ぐ人もやられたときに原因を特定する人も必要だ。ただ防ぐにも原因を特定するにも対象が広ければ一人では難しい。
何なら「謝罪の天才」だって必要になる。謝罪の仕方や事故が起きた時の対応を一つ間違えるだけでも大炎上するのがセキュリティで、技術対応だけできれば終わりではない。
「うちは大丈夫か」「どうにか事故になる前に防ぎたい」「やられてしまった…どうすればいいか」。高いお金を払ってベンダーにお願いするのももちろん必要だが、社内に分かる人がいないと苦戦必至だ。
今起きている事故への対応を進めることと、社内に必要な人材を採ることは両方必要になる。採用だけで今の事故がすぐ解決するわけではないが、だからといって事故が起きるまで採用を後回しにしていてよいわけでもない。
「どこにもいない人」を探す採用から変えてほしい
セキュリティ事故がニュースをにぎわす中、どうにかしたいと思っている企業はあるはずだ。「セキュリティ人材がいない」で止まる前に、自社が何を任せたいのかを分け、その専門性を持つ人を「凄い」と採用できるか考えてほしい。
株式会社セコネはセキュリティ人材に特化した採用コンサルであり、転職エージェントとして候補者を紹介する仕事ではない。企業側の立場で必要な人材を探し出す。
「何でもできる人が欲しい」から「今うちに必要なのはどんな人か」へ変えるところから、一緒に考える。セキュリティ人材の採用にお困りならお気軽にご相談いただきたい。
著者：高田 祥
セキュリティ人材専門の採用コンサルタント。株式会社セコネ代表。
情報処理安全確保支援士（登録番号 第019946号）。上級個人情報保護士。個人情報保護監査人。CompTIA Security+。
セキュリティベンダー・事業会社のセキュリティ採用を、職種設計からスカウト・面接設計まで一貫して支援。採用業務でのAI活用に関する整備支援にも対応。
