セキュリティ技術者を「憧れの職業」にするには？：Security&Trust ウォッチ（11）

　1月末のSQL/Slammer騒ぎで各方面が慌しい状況になっていると思いきや、さらにショッキングなニュースが飛び込んできた。スペースシャトル、コロンビア号の空中分解事故だ。かつて幼いころに宇宙への夢を抱いたことのある1人としては、苦しく、つらく、そして残念な思いなくしては聞けない知らせだった。

　一時期ほどひんぱんに報道されることはなくなったが、現在NASA （米航空宇宙局）では、全力を挙げて事故原因の究明に当たっている最中だという。チャレンジャー事故のときと同様、安易に結論に飛びつくことなく、徹底的に原因を追求してほしい。さて、その関連報道の中で、ちょっと気になる一文があった。事故の根本原因はNASAの予算不足と人材の流出にあったという記事だ。事故の直前に米会計検査院が出した報告書では、NASAエンジニアスタッフの高齢化と人材枯渇に対し、警告が発せられていたという。

　ご存じのとおり、NASAは近年、予算削減の動きにさらされてきた。火星有人探査プロジェクトはおろか、次世代スペースシャトルの開発計画すら凍結され、結果として、現行のシャトルが継続して利用されることになっていたという。

　これは同時に、優秀な人材を集めるのが困難になるという結果も招いた。予算を減らす手っ取り早い手段は人員削減だからだ。そのうえ、充実した職場環境がなければ、どうしても「できる」人材は他所へと流れてしまいがちである。

　おカネもなく、人も減らされる中、それでも限られた時間の中でプロジェクトを進めなくてはならないとなれば、タスクの質を低下させ、ミスを自ら招くようなものだ。事故の直接的な原因はともかく、予算減と人材難が本質的な背景にあったことは間違いないのではないだろうか。

　とはいえ、有人飛行プロジェクト関連予算が削減される一方でも、なお、宇宙開発計画がたゆまず続けられてきたことも事実だ。その大きな原動力として、宇宙への強い思い――あこがれであったり、使命感であったり、あるいは単に夢といってもいいかもしれない――を抜きにすることはできないと思う。

子どもの夢にはならないセキュリティ技術者

　翻ってセキュリティ業界、あるいはIT業界全般の状況を見てみたい。業界広しといえども、ITシステム担当者やセキュリティ担当者という仕事に強いあこがれを抱き、使命感を持った人材がいったいどれだけいるだろうか？

　情報処理振興事業協会が1月24日に開催したイベント「IPA Winter」（IPA Winter講演資料）の中で、それに触れた発言があった。「ブロードバンド時代のネットワークセキュリティ」と題したパネルディスカッションでのことだ。

　足りない、足りないといわれるセキュリティ関連の人材だが、具体的にどういった人物が必要かという問い掛けに、三輪信雄氏（ラック常務取締役）は次のように答えていた。「正義感が強く、技術力を持った人。しかし、使命感だけでは仕事はやっていけないから、相応のお金（＝給料）も必要だ」

　さらに同氏は次のように続けた。「若い人が、例えばパイロットや医者のように、セキュリティ技術者に憧れているかというと、多分そんなことはない。父親がシステム管理者をやっていたとしても、その子どもがシステム管理者になりたがるだろうか？ おそらく、そんなことはなさそうだ」。

　口調は冗談交じりだったが、同氏が指摘した点は根の深い問題だ。以前に比べれば層は厚くなってきたとはいえ、まだまだセキュリティ技術者、特に優秀な技術者は不足している。常に、有能な人材が求められているのだ。

　しかしながら、セキュリティ業界全般のステータスも低ければ、セキュリティ技術者が受け取る金銭的な見返りも、相対的に低いまま。職業イメージとしても、「夢」のある仕事とはいい難く、優秀な人材を引き付けるだけの魅力には欠けるのが現状ではないだろうか。

　専任の担当者がいるところはまだいい。ちょっと規模の小さな企業ともなれば、ほかの仕事と兼任というケースもままあるだろう。こうなると、強い使命感を持ってセキュリティ対策に当たろうにも、時間の制約などから後回しにせざるを得ない、ということも生じるはずだ。

技術と人に正当な評価

　この数年で、経営層の間でも「セキュリティ対策」が重要だということは認識されるようになってきた。しかし、それを実行するのに必要な「セキュリティ担当者」の待遇となると、どれだけ改善されただろうか？

　セキュリティに限らずITシステム全般に関しても、同じことがいえそうだ。例えば「CIO（最高情報責任者）」という役職。米国では、企業の意思・戦略決定にも深くかかわっていく重要なポジションとされているのに対し、日本では、そこまでの権限を与えている企業は、まだまだ少ない。従来型の、情報システム部門トップといったとらえ方をされることもままあるという。

　この問題を解決していくには、教育の在り方も含めて、腰を据えて取り組む必要があるだろう。考え方が変わるには時間がかかるものだが、それでも忍耐強く、理解を求めていくしかない。

　また、現在のような不況の中では、何につけてもTCOの削減が第一にいわれる。それも、より多くのニーズにこたえながら、予算は削減しなければならないという非常に難しい取り組みだ。

　売り込みの口車に乗って導入してしまうような、浮き足立ったシステムが不要であるのはもちろん、必要な部分でも無駄な出費を削るのはいいことだ。だがそれが、不当なダンピングを招くようなことは、あってはならないと思う。技術や人材には、相応の対価が必要だ。ただ安ければいいというのではなく、効果や働きに見合った正当な投資と報酬がなされるようであってほしいと思う（営業の最前線から見れば、何をきれいごとをいっているのだ、と反論されるかもしれないが……）。それには、技術の細部までは把握せずとも、自分の会社が何をしたいのか、何を求めているのかを明確にしておくことが大前提となる。

　それからもう1つ、先のディスカッションで提案されたユニークなイメージ戦略も紹介しておこう。「しばしば仲間うちで話すことだが、システム管理者を主人公にしたテレビドラマを作ればいい。主人公を演じるのはキムタク（木村拓哉）。決して本物の管理者が登場してはいけない」（独立行政法人 産業技術総合研究所 グリッド研究センター セキュアプログラミングチーム長、高木浩光氏）

　だが私ならば、それよりも「プロジェクトX」を推したい。セキュリティを含むITシステムは、かつての新幹線やダム（発電所）と同じように、重要なインフラとなりつつある。それを支える管理者たちの現実の姿が、広く認められ、評価される日が来てほしいと思う。