中小企業が限られたリソースでサイバーセキュリティを強化する方法

近年、サイバー犯罪やセキュリティ脅威は急激に増加しており、IT専門家から一般ユーザーまで、あらゆる層がその影響を受けています。さらに問題を深刻化させているのが、サイバーセキュリティ人材における需要と供給の大きなギャップです。

シスコシステムズ(Cisco)によると、世界中で100万件以上のサイバーセキュリティ関連職が空席のままになっています。また、ISACAの最新レポートでは、多くのサイバーセキュリティ職が、採用されるまで(あるいは永遠に埋まらないまま)6か月以上も空席状態が続いていることが明らかになっています。

高度化するサイバー犯罪、フィッシング、ランサムウェア、SQLインジェクション攻撃などは、大企業や政府機関といった「大物」を主な標的としています。しかし、中小企業がこれらのサイバー攻撃の対象外であるわけではありません。むしろ、セキュリティ脅威に対処するためのリソースが極めて限られている、あるいはほとんど存在しないことが、被害を拡大させる要因となっています。

サイバーセキュリティの研究には資金が必要であり、常に変化するサイバー犯罪の動向に精通した専門家の存在も不可欠です。しかし、リソースが限られ、しかもセキュリティ専門家の需給バランスが崩れている現状では、中小企業の経営者にとってこれは大きな課題となっています。

解決策は、知識と利用可能な熟練IT人材との間のギャップを埋めることにあります。この根深い問題に立ち向かうためには、企業が既存のリソースを最大限に活用し、そのポテンシャルを最適化することでサイバー犯罪と戦い、データおよび情報セキュリティを強化する必要があります。

ここでは、中小企業が自社のIT人材の能力を高めるための具体的な方法を3つ紹介します。

1. 新しい資格取得を奨励し、最新情報をキャッチアップさせる

IT業界において唯一不変なものは「変化」です。そのため、企業は従業員に対し、最新のサイバー犯罪の動向や実施すべき基本的なセキュリティ対策について常に意識させるよう促すことが重要です。まず、マネージャーはチームメンバーのスキルレベルを見極め、必要に応じて研修プログラムやトレーニングを導入し、従業員の知識向上を図りましょう。セミナー、プレゼンテーション、資格取得支援、新製品に関する知識習得などが具体例として挙げられます。

残念ながら、現在IT人材のスキル向上のための研修プログラムや教育コースを実施している企業はごくわずかです。

2. 従業員に自主的に学び・探求する場を与える

ISACAのレポートによると、サイバーセキュリティ職へのエントリーレベル(未経験・若手)の応募者のうち65%が、その職位で成功するために必要な専門性を備えていないとされています。

サイバーセキュリティ分野に好奇心を持ち、探求したいという意欲のある従業員がいれば、チーム内の経験豊富なメンバーのもとで学ばせることで、人材育成と成長の機会につながります。

業界の大手企業では、セキュリティや技術に関心を持つ従業員に実際の業務を通じて学ぶ機会を与え、専門家へと育てる取り組みを行っています。中小企業もこの手法を十分に参考にできます。

3. 社内の専門家に主導権を委ねる

サイバーセキュリティのバックグラウンドを持つIT専門家が社内にいるなら、その人物に他のチームメンバーを同じレベルまで教育してもらいましょう。これを社内の仕組みとして義務化すれば、平均的な従業員からもさらなる関心と熱意を引き出すことができます。

また、採用の場面でもこうしたIT専門家の力を借りることができます。彼らは候補者のポテンシャルを見極める目を持っているため、会社のニーズに合った最適な人材を市場から発掘できるのです。

サイバーセキュリティはすべての企業にとって重大な関心事であり、専門的なIT人材の確保は不可欠です。大多数の企業が、十分な体制を整えたITチームの必要性を認めています。

しかし、すべての企業が専門家の求める高い報酬水準を用意できるわけではありません。そこで最善の策は、社内の人材を訓練し、分野の専門家へと育成することです。これにより、サイバーセキュリティの専門家を確保するというニーズを満たせるだけでなく、従業員のモチベーション維持によって離職率の低下にもつながります。金銭面での成長とスキルアップの両方の機会が提供されれば、長期的には中小企業にとって非常に有益なモデルとなるでしょう。