{{item.videoDuration}}
{{item.title}}
{{item.text}}
{{item.videoDuration}}
{{item.title}}
{{item.text}}
本稿では、2024年6月に上梓された‘The Aspiring CIO and CISO’（『CIOおよびCISOを目指して』）の著者であるDavid Gee（デビッド・ギー）氏が自らの経験を基に、これからCIO（最高情報責任者）やCISO（最高情報セキュリティ責任者）を目指す方々に向けた心得と実践方法を指南します。
本稿は2024年8月20日～10月31日にオンデマンド配信で開催した「グローバル金融サイバーカンファレンス」のセッションの1つを要約したものです。
登壇者
CIO, CISO, Board Advisor, NED & Author
Former CIO/CISO, Macquarie Group Limited
David Gee（デビッド・ギー）氏
CIO・CISO成功への戦略は「2つ先を見据えたスキル構築」
最初にお伝えしたいのは「リーダー、CIO、CISOとして第三者を鼓舞する優れた存在になるためには、まず自分自身を鼓舞する必要がある」ということです。では具体的にどのようにすればよいのか。ここでは「自分はなぜCIOになりたいのか」「どうやってCIOのポジションを得るのか」「個人のブランドとは何か」「第三者の評価はどのようなものか」「CIOやCISOに必要な特別なスキル、知識、経験、行動は何か」といった疑問に答える形で解説していきましょう。
キャリア開発において、私はよく「CIOとCISOのどちらを目指すべきか」という質問を受けます。この質問に対しては、常に「両方を検討すべきだ」と回答しています。その理由は、両方の役割を理解することが将来的に大きな強みになるからです。さらに、2つの道を検討することでキャリアの選択肢が広がり、急速に変化する技術や情報セキュリティの分野に適応しやすくなるといったメリットもあります。
このようなキャリア設計を支援するため、私は「Dot Game」と呼ぶアプローチを提案しています（図表1）。これはキャリアの現在地を始点とし、目標とする位置（CIOやCISO）を終点として、その間にいくつかの中間点（キャリアステップ）を設定し、それらを線で結ぶ思考法です。このアプローチの目的は、長期的な視点でキャリアを俯瞰し、各ステップで必要なスキルや経験を明確にすることです。つまり、目標に到達するには何が必要なのかを具体的に考えることにあります。
図表1：Dot Gameの考え方（出典：David Gee ‘The Aspiring CIO and CISO’）
この時に重要なのは、1つ先ではなく、2つ先の仕事までを見据えることです。さらに、理想的なロールモデルを見つけ、その人物の「スキル」「知識」「経験」「行動」を分析することも大切です。
例えば、アナリストからアーキテクトへのステップアップを目指す場合、優れたアーキテクトをロールモデルとして探します。そして、自分にとっての「2つ先の仕事」も視野に入れ、「スキル」「知識」「経験」「行動」を観察し、理解を深めます。これにより、目指す役割に必要な要素が明確になると同時に、この過程を通じて、自身のキャリアパスをより具体的に描くことができ、効果的な成長戦略が立てられます。
私はこの方法を4つの言葉（Skills、Knowledge、Experience、Behaviour）の頭文字を取って「SKEBモデル」と呼んでいます。この手法を、リーダーシップの観点から組織の向上と自己改革を実現するために開発しました。
SKEBモデルの利点は、各要素を計画的に体得できることです。例えば、プロンプトエンジニアになりたい、大規模言語モデルの知識を得たいなど、具体的な目標があるとしましょう。これを実現するには「スキル」「知識」「経験」を相互に連携させる必要があります。なぜならスキルは習慣となり、知識が自信を生み出し、経験が正しい行動を強化するからです。
CIOやCISOなどの上位職を目指す人々にとって、この方法は特に有益です。これらの役職は組織全体を見渡す能力と、技術と経営の両面を理解する幅広い知識が求められるからです。「Dot Game」を通じて、段階的にスキルを積み上げ、視野を広げていくことで、最終的な目標に向けて効果的に準備ができます。同時に、SKEBモデルを活用することで、各キャリアステージで必要となるリーダーシップスキルも体系的に習得することができます。
図表2：SKEBモデルによるアセスメント（出典：David Gee ‘The Aspiring CIO and CISO’）
CIO・CISOに不可欠な10大ソフトスキルとは
次に、CIOやCISOに必要な重要なソフトスキルについて紹介しましょう。以下に示すのは、CIOやCISOが身に付けるべきソフトスキルのトップ10です。これらのスキルは、技術的な専門知識と並んで、組織をリードし成功に導くために不可欠なものです。
- リーダーシップ
- 戦略的思考
- コミュニケーション能力
- 問題解決能力
- リスク管理能力
- 適応性
- 高い感情知能（EQ）
- 時間管理能力
- チーム構築能力
- 倫理観
CIOやCISOの役割は、急速に変化するテクノロジー環境の中で組織をリードし、戦略的な方向性を見定めることです。そのためには技術的な専門知識だけでなく、組織をまとめ上げるための幅広いソフトスキルも求められます。
これらのスキルは全て重要ですが、特に強力なリーダーシップは不可欠です。組織を正しい方向に導き、人々を引きつける能力が求められるからです。同様に、高い視点から組織の進むべき道を見出す戦略的思考や、これらのビジョンや戦略を効果的に伝えるためのコミュニケーション能力も極めて重要です。
問題解決能力やリスク管理能力は、日々直面する課題に対処するうえで欠かせません。さらに、急速に変化するテクノロジー環境に対応するための適応性や、チームメンバーの感情を理解し適切に対応するための高い感情知能（EQ）も重要です。効率的な時間管理、強固なチーム構築能力、そして倫理的な意思決定の基盤となる強い倫理観も、トップレベルのIT責任者に求められる重要な特質です。
上記のトップ10に加えて、これらを複合した総合スキルも重要です。例えば、組織内外のさまざまな部門の人々とスムーズに協業していくためのコラボレーション能力や、困難な対外交渉を成功させるための交渉力も不可欠です。また、予期せぬサイバーインシデントに迅速かつ効果的に対応できる危機管理能力も重要です。サイバー攻撃手法の進化は日進月歩ですから、継続的な学習を通じて常に最新の知識とスキルを習得し続ける必要があります。
これらのソフトスキルを効果的に活用するうえで、特に重要なのがステークホルダー管理です。CIOやCISOはさまざまなステークホルダーの期待に応え、信頼関係を構築する能力が求められます。特にCISOの場合、セキュリティ要件と組織の発展のバランスを取る必要があるため、このスキルは極めて重要です。
効果的なステークホルダー管理には、まず組織内の影響力のある人物を特定し、その役割を理解することが不可欠です。そのためには、後述する自身の「個人ブランド」を考慮しつつ、チームの現状と将来のありたい姿を描き、そこにどのようなギャップがあるのかを把握することから始めます。これにより、各ステークホルダーとの適切な関係構築や、彼らの期待に応える戦略の立案が可能になります。
具体的には、チームと協力してステークホルダーの影響力や関心度を分析し、適切な対応策を計画することが含まれます。例えば、サイバーセキュリティに強い関心を持つステークホルダーには特に注意を払い、緊密なコミュニケーションを維持する必要があります。
さらに、これらのソフトスキルを効果的に発揮するためには、組織のオペレーションに関する詳細な理解も欠かせません。IT戦略やサイバー戦略がビジネスとどのように統合されているかを理解して改善すべき部分を特定し、必要に応じて改善案を提案します。
特に就任後の最初の90日間は重要です。この期間は、組織の現状を深く理解し、必要な変更を提案するのに適した時期です。新しい視点で組織を見ることができ、また周囲も新任者の意見に耳を傾ける傾向があるため、組織全体のセキュリティ態勢を強化できる絶好のタイミングでもあります。
個人ブランドの確立とコーチングで強い組織を作り上げる
では、これらのソフトスキルを踏まえたうえで、個人ブランドの重要性とCIOやCISOポジションを獲得するためのプロセスについて考えてみましょう。
個人ブランドとは、「周囲の人々があなたをどのように捉えているか」を端的に表したものです。言い換えれば、あなたが周囲に与えている印象を反映するものです。個人ブランドをポジティブなものにするためには、自分の強みと弱みを認識し、継続的に改善することが重要です。例えば、技術的な専門知識を深めるだけでなく、コミュニケーションスキルを向上させたり、業界のトレンドに関する洞察力を磨いたりすることで、より魅力的な個人ブランドを構築できます。
CISOやCIOポジションを得るには、綿密な準備が必要です。応募企業の徹底的な研究、業界内外でのネットワーキング、想定質問への回答準備が重要です。面接では自分のブランドに合致した質問をすることも大切です。例えば、イノベーションを重視する個人ブランドを持つ場合、企業の技術革新への取り組みについて質問することで、自身のブランドと一致した姿勢を示すことができます。
このように個人ブランドを確立し、目指すポジションを獲得した後も、その役割を効果的に果たすための努力が必要です。特に、新しくCIOやCISOの役職を得た後の最初の90日間は極めて重要です。この期間は、新しい環境での信頼構築と、将来の成功の基盤を確立するために重要な時期です。そのためにも90日で実行すべき綿密なプランを立てましょう。
私が実施しているのは、30日、60日、90日の3期間に分け、各期間で「人」「プロセス」「技術」の3領域でどのようなことをなすべきかを確認するアプローチです。例えば、最初の30日間では主要なステークホルダーとの関係構築（人）、現在のプロセスの理解（プロセス）、既存のシステムの評価（技術）などに焦点を当てます。
その後のプラン実行フェーズでは、ステークホルダーとの透明性確保、計画項目への集中、そしてフィードバックに基づく修正を実施します。こうしたアプローチを執ることで、組織内での役割と目標を明確にし、信頼を得やすくなります。
CIOやCISOとしての役割を効果的に果たすうえで、チームワークは非常に重要な要素です。優秀なリーダーは、チームメンバーの潜在能力を最大限に引き出すことに長けています。チームビルディングのためのコーチングは、CIOやCISOの役割において不可欠なスキルです。
コーチングの第一歩は、各メンバーの現在の能力を評価し、それを向上させることです。リーダーの役割は、チームの各メンバーが自身の“ベストバージョン”になれるよう支援することです。例えば、平均的なパフォーマンスのメンバーを高パフォーマンスに、すでに高パフォーマンスのメンバーをさらに卓越したレベルに引き上げるのはリーダーの役割です。そして個々のメンバーの能力向上と、チームとしての協働能力の強化を組み合わせることで、驚異的な成果を生み出すことができます。
CIOとCISOの役割の違い―軋轢を生まないバランス感覚
最後にCIOとCISOの違いについて考えてみましょう。CIOとCISOは、それぞれ固有の責務と課題を抱えています。CIOはビジネストランスフォーメーションや組織全体の戦略を担う一方、CISOはサイバーセキュリティに特化しています。両者の協力は不可欠ですが、セキュリティと利便性のバランスを巡って意見が対立することがあります。
例えば、多要素認証（MFA）の導入は、セキュリティを向上させる一方で、顧客体験に摩擦を生じさせる可能性があります。CISOがMFAの導入を提案しても、CIOが顧客体験への影響を懸念して反対することがあり、これがプロセスの遅延につながる可能性があります。
このような課題に対処するためには、CIOとCISOの協力を促進する取り組みが重要です。その一例として、DevSecOps（開発・セキュリティ・運用の統合）の導入やAPI（Application Programming Interface）セキュリティ管理の強化が挙げられます。DevSecOpsは従来のDevOpsをさらに発展させたもので、複数の専門分野にまたがるチームが協力して問題解決にあたります。
組織内の政治的問題を回避しつつ効果的にリーダーシップを発揮するには、いくつかの重要なポイントがあります。それは常に事実に基づいた判断を行い、Win-Winの解決策を模索することです。透明性と客観性を保ち、会社の利益を最優先すること。そして組織内で適切な支援者や協力者を獲得し、常に正しい行動を心がけることです。これらの原則を守ることで、不必要な政治的軋轢を避けつつ、組織全体の目標達成に貢献できます。
最終的に、IT業界のトップマネジメントには、技術的な専門知識だけでなく、ビジネス戦略の理解、リーダーシップスキル、そして変化に適応する能力が求められます。常に学び続け、組織全体の発展に寄与する姿勢を持つことが、長期的な成功につながるのです。
キャリアパスを慎重に選び、変化にオープンに
このような複雑な役割と責任を担うCIOやCISOは、常にキャリアの岐路に立たされています。現在の役職でさらなる成長や昇進を目指すか、異なる業界や役割に移るか、まったく新しいキャリアパスを選択するか、あるいは仕事から完全にリタイアするかという選択肢に直面するのです。これは、キャリアの方向性を決定する重要な転換点となります。
キャリア選択を考える際には、単なる金銭的側面だけでなく、新たな挑戦や仕事のプレッシャー、個人的な状況なども考慮に入れる必要があります。また、CISOの平均在任期間が約2年、CIOが3～4年という現状も、キャリア決定の重要な要素となっています。
常に変化し続けるIT業界において、トップマネジメント層は自身のキャリアパスを慎重に検討し、変化に対してオープンな姿勢を持ち続けることが求められています。これは、個人の成長だけでなく、組織全体の発展にも大きく寄与する重要な要素であると考えています。
{{filterContent.facetedTitle}}
{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}
{{contentList.loadingText}}
{{filterContent.facetedTitle}}
{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}
