セキュリティチームを支えるバーチャルCISOの採用

著者

2022年3月9日

0 分で読めます

サイバー攻撃が増加するなか、効果的なセキュリティ対策を講じることの重要性を理解する組織が増えています。組織にバーチャル最高情報セキュリティ責任者（vCISO）を迎えることで、その目標に向けて大きく前進できます。

バーチャルCISOとは？

バーチャルCISOとは、パートタイムまたはリモートで活動し、一定期間または継続的に組織へ時間と専門知識を提供するセキュリティの専門家またはサービス提供者です。

セキュリティ対策を導入したいものの、フルタイムのCISOを採用できない企業にとって、バーチャルCISOは効果的な選択肢です。中小企業で必要なセキュリティ対策を整えたい場合、バーチャルCISOの採用は有効な第一歩となるでしょう。組織全体でコンサルティング職の採用が増えるにつれて、バーチャルCISOのパートタイム勤務もますます一般的になっています。

バーチャルCISOは、人材派遣会社のように人材をサービスとして提供する企業を通じて採用することも、フリーランスとして業務を請け負うこともできます。どちらの場合も、組織は常勤の担当者を社内に加えることなくバーチャルCISOを採用し、セキュリティの専門知識を活用できます。

CISOの採用は非常に困難です。CISOを社内に置く価値を認識する企業が増えるなか、その採用はますます難しくなっています。特に、CISOがデータ侵害によるコストの削減に貢献できることを考えると、その重要性は明らかです。

vCISOとCISO：自社に適しているのはどちら？

企業は急速な成長を目指す一方で、セキュリティ基準も考慮し、遵守しなければなりません。vCISOはその両立を支援できます。セキュリティ態勢について第三者の意見を求める企業も、vCISOに相談できます。

多くの場合、事業の主軸がテクノロジーではない組織にとって、バーチャルCISOは非常に適した選択肢です。こうした企業では、フルタイムのCISOがキャリアアップの機会を得にくく、やがて別の道を探すこともあります。その結果、組織が適切なセキュリティの専門知識を失う可能性があります。こうしたとき、バーチャルCISOを活用できることは大きなメリットになります。フルタイムのCISOが在籍する大企業でも、担当者が業務に追われているときに一部の仕事を引き受けるバーチャルCISOの支援が役立つことがあります。

vCISOの活用例

バーチャルCISOは、コンプライアンス担当者、リスク評価担当者、またはアプリケーションセキュリティの専門家として活動できます。多くの場合、CISOは経営幹部や顧客への対応に追われ、専門性の高い業務の一部で支援が必要になることがあります。そんなときにvCISOが力を発揮します。

vCISOは必要に応じてすぐに利用でき、通常、研修や30・60・90日間の計画を必要としません。フルタイムのCISOが新しい組織で本来のパフォーマンスを発揮するまでには時間がかかりますが、vCISOは初日から業務に取りかかれます。スキルセットはそれぞれ異なりますが、多くのvCISOは、戦術的な業務から戦略的な業務まで幅広く対応できます。セキュリティポリシー、ガイドライン、基準の策定を支援できるほか、採用、セキュリティ戦略の策定、ソリューションの調達、インシデント対応、ISO 27001および9001への準拠に向けた基盤づくりを支援できる人もいます。

vCISOの役割を担う期間

バーチャルCISOの役割は、組織のニーズに応じて短期にも長期にもなります。セキュリティアーキテクチャの構築やコンプライアンスプログラムの立ち上げといった主要な業務が完了すれば、セキュリティアーキテクチャ全体に必要な変更はごくわずかになります。プロセスが安定すれば、バーチャルCISOの業務は完了です。その後、別の組織で新たな仕事を始めることもありますが、今後の業務に備えてvCISOとの関係を続けたいと考える企業もあります。

バーチャルCISOのRohit Srivastwa氏：「多くの企業から、セキュリティの専門知識が必要なときに提供できるよう、リテイナー契約を設定できないかと再び相談を受けています。ただし、提供できる期間には限りがあります。」

この役割は、組織の要件に合わせてさまざまな形で定義できます。vCISOサービス会社が提供するサービスをビュッフェにたとえると、企業は自社のニーズに応じて必要なサービスを選べます。

CISOとvCISOの経営層への影響力

組織の常勤従業員であるフルタイムのCISOは、セキュリティ対策に関する提案を採用してもらうため、取締役会を説得し、働きかける必要があります。一方、バーチャルCISOは経営陣によって選任されるため、vCISOの提案は原則として実行に移されます（経営陣がすでにその分野の権威として認めているためです）。

組織内の基本的なセキュリティ対策が強固で明確に定義されていれば、vCISOプログラムは簡単に導入できます。多くの組織は、検討を始めた時点でvCISOプログラムの価値に気づきます。たとえば、新型コロナウイルス感染症のパンデミックが始まった当初、多くの企業が十分な要件を整えないまま、クラウドを活用したリモートワーク体制へ移行しました。これにより、重大なセキュリティ上の懸念が生じました。多くの組織の取締役会がvCISOサービスの利用を選び、その品質に信頼を寄せるようになりました。取締役会がvCISOプログラムを信頼すれば、その利用は継続されます。

vCISOを採用する際に考慮すべき事項：

秘密保持契約を締結しておきましょう。プロジェクト単位で採用するvCISOにも、フルタイムのCISOを採用する場合と同じ秘密保持契約を適用します。適切なプライバシーポリシーを契約に盛り込む必要があります。
従業員の本人確認を適切に行いましょう。vCISOサービス会社と、サービスを提供する個人の双方について、適切な確認を実施する必要があります。

vCISOは最適な選択肢となる可能性があります

バーチャルCSOプログラムを利用すれば、常勤の従業員を恒久的に雇用することなく、CISOの専門知識を活用できます。関係者全員にとってメリットのある選択となる可能性があります。セキュリティ目標の達成に向け、すべての組織がvCISOの活用を検討すべきです。