第4回 セキュリティ人材の要否論/シリーズ③どうする中小企業のセキュリティ人材～求められる管理体制とは～

【第4回】セキュリティ人材の要否論

いよいよ本テーマも最終回です。第1回目ではセキュリティ人材の概況を説明し、続く2回目では管理者、3回目に担当者の役割を考察してきました。そうした内容を踏まえて、締めくくりたいと思いますが…
その前に、振り出しに戻す（ちゃぶ台をひっくり返す）ようなことから、あらためて考えてみます。
・中小企業でセキュリティ人材が必要なのかどうか？
・外部のベンダー等へ全部アウトソーシングすることはできないのか？
そんなセキュリティ人材の要否論から、今後どのような人材・組織戦略を進めるべきかを説明します。

そもそも社内で育成が必要？

まずは、セキュリティ管理者や担当者のような人材が、本当に社内で必要なのかどうかです。セキュリティ人材がいないと何が困るのでしょう？　実際にセキュリティインシデントが発生すると、その影響の大きさに応じて、経営層もしくは管理職が陣頭指揮を取ると思われます。ただし、セキュリティの技術的なことは門外漢のため、それをサポートする人がいないと対処ができません。

次に、事後的なインシデント対応だけでなく、予防的なセキュリティ対策を考えてみます。マルウェア感染を防ぐために、対策ツールを導入して最新の状態を維持していく。怪しいメールの添付ファイルをうっかりクリックしないよう、定期的な教育の実施を徹底する。必要そうな対策をあげるとキリがありません。そうした対策を、個々の社員が自発的に行っていくのは、かなり無理がありそうです。

セキュリティ技術にやや明るい人材、そしてセキュリティ対策の導入を旗振りする人材がいないと、いくら中小企業だからといえ、分が悪いのは間違いありません。では、そうした人材をどのように確保すればいいのでしょう？　ここでは、社内育成／中途採用／外部委託といった選択肢で考えてみます。

ベンダーにお任せではダメ？

大手企業では、情報システム部門全体をアウトソースすることがあります。社内で育成や採用が難しければ、セキュリティの業務すべてを、外部ベンダーに任せてはダメなのでしょうか？　
ここでは、仮にセキュリティ管理者とセキュリティ担当者の業務を、外部ベンダーに委託したケースで考えてみます。

こうしてみると、セキュリティ管理者を社内から（何とか）選抜し、外部ベンダーからセキュリティ担当者を受け入れるのが現実解のように思えます。ただし、それぞれの企業が置かれている状況（組織体制や社員の業務内容など）はさまざまです。何がベターなのかは、ケースバイケースで変わるはずです。

どうするセキュリティ人材

今後のデジタル化によるビジネス成長を考えれば、中小企業とはいえセキュリティリスクは経営リスクの一つです。ビジネスを支える基盤として、セキュリティ対策の推進は欠かせません。セキュリティ戦略を担う（経営とセキュリティを橋渡しする）管理者のような人材がいるかどうかで、企業の競争力は大きく変わるかもしれません。
第2回目（セキュリティ管理者の役割）の「経営とセキュリティの橋渡し」で説明したとおり、中小企業だからこそ、（灯台下暗しのように）きっと逸材が見つかるはずです。そうした人材の芽を見つけ、育てていくことが重要だと考えます。

また、第3回目（セキュリティ担当者の役割）の「理想的な体制とは」では、セキュリティ対策は大きく、「組織的な対策」と「技術的な対策」に分かれると説明しました。技術的な対策は、外部ベンダーへ全面委託するといった割り切りも、考え方（セキュリティ戦略）の一つです。

中小企業に限らず、人材不足は社会的な課題として避けては通れません。そうした中でも、創意工夫で柔軟に対処できる（小回りが利く）のが、中小企業の強みです。中途半端な体制で役割を曖昧にしたり、一部の担当者へ無理強いさせたりすることなく、戦略的に「やる／やらない」を決めていくべきです。
自社で育成すべき要員、積極的にアウトソースする業務、各部門の協業体制など、各企業の環境に適したやり方があるはずです。そうした中小企業の人材・組織戦略を検討し、セキュリティ戦略に落とし込む必要があるのではないでしょうか。

おわりに

「どうする中小企業のセキュリティ人材」と題し、計4回にわたって説明をしました。一般的に組織的な課題は、「これが正解！」といった勝利の方程式はありません。これを機会に、自社のセキュリティ体制やセキュリティ人材について、いろいろ考えを深めていただけると幸いです。
また、次回から新たなテーマが始まります。どうぞご期待ください。

1965年、山口県宇部市生まれ。
JTに入社し、たばこ工場の制御システム開発に携わった後、ジェイティエンジニアリング株式会社へ出向。
幅広い業種・業態での産業制御システム構築を手がけ、2014年からはOTのセキュリティコンサルティングで第一人者として活動する。
2021年4月に株式会社ビジネスアジリティを設立し、代表取締役として独立。
技術士(経営工学)、 中小企業診断士、情報処理安全確保支援士、公認システム監査人など、30種以上の資格を所有。
主な著書に、『図解入門 よくわかる 最新 サイバーセキュリティ対策の基本』(秀和システム) |『現場で役立つOTの仕組みとセキュリティ 演習で学ぶ! わかる! リスク分析と対策』(翔泳社)などがある。