セキュリティ人材をどう育てる？～NRIセキュアテクノロジーズと語る、資格や研修を実務につなげる考え方

セキュリティアカデミー

メルマガ登録する

メルマガ登録する

セキュリティ人材不足が続く中、多くの企業がセキュリティ人材育成に取り組んでいます。しかし、どのような人材を育てればよいのか、資格取得や研修をどのように育成へ結び付けるべきか、と悩む声も少なくありません。CISSPやSANSなどの資格・トレーニングは広く活用されていますが、大切なのは取得そのものではなく、その学びをどのような役割や実務につなげるかです。

本記事では、企業のセキュリティ対策を支援し、セキュリティ人材の育成にも取り組むNRIセキュアテクノロジーズ様に、組織が人材育成を考えるうえで押さえておきたい視点について伺いました。

NRIセキュアテクノロジーズ株式会社
人材開発コンサルティング部
セキュリティ人材育成室室長
時田剛氏

ラック星代介 — 株式会社ラック
営業セキュリティアカデミー
教育サービスグループ
星代介

組織によって求めるセキュリティ人材は異なる
資格や研修を人材育成にどう位置づけるか
研修や資格取得を組織の力につなげるために
人材育成は「問い」を整理することから始まる
お客様プロフィール
本記事で紹介した関連トレーニング

組織によって求めるセキュリティ人材は異なる

ラック: セキュリティ人材不足は、多くの企業が直面する共通課題となっています。実際に人材育成に関する相談を受ける中でも、「自組織としてどのような人材を育てるべきなのか」という部分で悩まれている組織は多いと感じます。

NRIセキュア テクノロジーズ: 人材不足は確かに大きな課題ですが、その前に「どのような人材を必要としているのか」を整理できていないケースも少なくありません。組織によって事業・業務、守る対象、内製する機能、外部へ委ねる範囲は異なります。脅威の監視や分析を強化したい組織もあれば、インシデント対応力やマネジメント層のセキュリティ理解を高めたい組織もあります。さらに、システムやサービスの開発・運用に関わる人材の強化を目指す組織もあれば、管理職層や組織幹部にセキュリティの知見を持ってほしいと考える組織もあります。

このように、必要としている機能や担ってほしい役割は異なるのに、それらをまとめて「セキュリティ人材」と表現してしまうことが多いのです。

ラック: 「セキュリティ人材」と聞くと、何でもできる人をイメージしがちですよね。

NRIセキュア テクノロジーズ: 組織が理想像として思い描くのは、技術にも精通し、インシデント対応ができ、ガバナンスも理解したうえで意思決定層とも会話できる、スーパーマンのような人材かもしれません。もちろんそうした人材がいれば理想的ですが、現実には専門性は分化しています。なので、「セキュリティ人材を育てる」というよりも、「自組織としてどのような役割を担う人材を増やしたいのか」を考えることが出発点になります。

ただし、最初から精緻な人材像や完成した育成体系を作る必要はありません。まずは、誰に何を期待するのかを仮置きし、教育や資格、配置、実践機会を組み合わせて育成を始めます。その過程で得られた本人・現場の反応や成果を踏まえ、期待する役割だけでなく、対象者の選び方、学び方、支援方法など、育成の進め方自体も見直していくことが現実的だと思います。

資格や研修を人材育成にどう位置づけるか

ラック: 人材育成という観点では、CISSPやSANSのように、資格や関連トレーニングを活用される組織も多いですよね。

NRIセキュア テクノロジーズ: はい。CISSPは、セキュリティの幅広い領域を横断して理解し、リスクや事業との関係を踏まえて判断・説明するための知識体系です。組織内外で共通言語を持ち、技術、ガバナンス、マネジメントをつないで考える土台になる点に、固有の価値があります。また、取得後も継続学習が求められるため、専門家として学び続けることを前提とした資格でもあります。

CISSPの価値は、個別技術の習熟度とは異なる軸にあります。資格を取得したからといって、特定の製品設定やインシデント対応など、個々の実作業を直ちに担えることを意味するわけではありませんが、それはCISSPの価値が小さいということではありません。幅広い知識をもとに状況を捉え、関係者と会話し、判断につなげる役割を担うための知識体系に強みがあります。

ラック: 実際に、CISSPの受講者を見ても、職種や立場、受講目的は非常に幅広いですね。現在の業務に必要だから受講する方もいれば、将来のキャリア形成や視野拡大を目的に受講される方もいます。

NRIセキュア テクノロジーズ: 対して、SANSは単一の資格や研修ではなく、多様な領域と難易度を持つトレーニング群です。特定の業務や専門領域について、知識や実践力を深めたい場合の選択肢になり得ます。ただし、「CISSPの次にSANSへ進む」「CISSPで不足する部分をSANSで補う」という一方向の関係ではありません。両者は性質も目的も異なり、同じ軸で比較するものではないからです。問われるのは、なぜ学ぶのか、学んだ後に何を担ってもらうのかということだと思います。

ラック: 研修の相談を受ける際も、「CISSP CBKトレーニングを受けさせたい」「SANSトレーニングを受けさせたい」という話はあっても、その背景にある期待は組織や個人ごとに異なります。

NRIセキュア テクノロジーズ: 共通言語を身につけてほしいのか、技術力を高めてほしいのか、判断力を養ってほしいのか、マネジメント視点を持ってほしいのかといった期待値によって、教育の意味合いも選択肢も変わります。資格や研修から育成を考えるのではなく、期待する役割や成長の方向を定めたうえで、必要な学びを選択することが重要です。

研修や資格取得を組織の力につなげるために

ラック: 教育や資格は、体系的な知識を得たり、共通言語を身につけたり、視野を広げたりするうえで、育成の有効な起点になります。さらに、学びを役割や実務、経験機会と結びつけることで、その価値を個人の成長から組織全体へ広げていくことができます。

ただ、実際の現場を見ていると、知識や技術だけで成果が決まるわけではありません。お客様や社内外の関係者と信頼関係を築きながら課題を整理したり、周囲を巻き込みながら物事を進めたりする力も求められます。そうした意味では、専門性に加えて、人としての成長も、人材育成には欠かせない要素なのかもしれません。

NRIセキュア テクノロジーズ: その通りだと思います。専門知識だけでなく、相手を理解しながらコミュニケーションを取る力も重要です。そのうえで、研修や資格取得はゴールではなく、育成のスタート地点です。受講して得た知見を活かすには、予め受講後にどのような役割を担ってもらうのか、どのような経験を積んでもらうのかまで明らかにしておく必要があります。教育や資格は育成の重要な柱ですが、人材の配置、上司の支援、実践する機会、ナレッジ共有などと結びつくことで、より大きな効果を発揮します。

ラック: 確かに、「CISSPを取得した」「SANSトレーニングを受講した」で終わってしまうのはもったいないですね。

NRIセキュア テクノロジーズ: 大切なのは、学んだ知識を実務の中で活かせる環境を整えることです。各組織の状況に応じて、人材配置や支援体制、実践する機会の設け方を見直しながら、学びを組織の力へとつなげていくことが求められます。

人材育成は「問い」を整理することから始まる

ラック: 今日のお話を伺って、人材育成においては「正解」を探すというよりも、まず自組織に必要な役割や期待を整理することが重要だと感じました。

NRIセキュア テクノロジーズ: 私もそう思います。組織によって求める人材像も違いますし、事業・業務や体制も異なります。環境が変われば、必要な役割も変わります。各組織が、自組織に必要な役割と成長の方向を仮置きし、育成活動を実際に進めながら、実務での成果や本人・現場の反応を確かめ、役割、学び方、支援方法を継続的に見直していく必要があります。

ラック: 人材育成を進めるうえでまず、整理しておくべき問いには、どのようなものがあるのでしょうか。

NRIセキュア テクノロジーズ

以下のような問いは、多くの組織に共通しています。

どのような役割を担う人材を育てたいのか
その人に何を期待するのか
なぜ教育・資格が必要なのか
学んだ後に、どのような経験と活躍機会を用意するのか

資格や研修には、それぞれ異なる目的と価値があります。重要なのは、名称や一般的な評価だけで選ぶのではなく、自組織が期待する役割や本人の成長の方向に照らして位置づけることです。人材育成に唯一の正解はありません。しかし、こうした問いに向き合い続けることが、自組織に合った育成のあり方を見つける第一歩になるのではないでしょうか。

人材育成は、教育や資格取得だけで完結するものではありません。期待する役割を定め、その学びを実務や経験へとつなげていく仕組みづくりがあってこそ、組織の対応力向上につながります。本対談が、自組織に必要なセキュリティ人材像を考え、育成のあり方を戦略的に考えるためのヒントとなれば幸いです。