CISO・情報セキュリティ責任者に、何を任せ誰に報告させるかを決める
CISOの採用は、候補者を探す前に、任せる範囲と報告先を決めるところから始まります。役割の型と報告ラインの違いから、要件の書き方と面接で確かめることを整理します。
情報セキュリティ責任者を置こうと決めた会社で、最初に議論が止まるのは候補者の不足ではなく、このポジションが何を決められるのかが社内で決まっていないことです。肩書きは同じCISOでも、ある会社では全社リスクを取締役会に説明する役割であり、別の会社ではセキュリティ部門を率いる技術の責任者です。
どちらの役割を想定しているかで、探すべき経歴も、提示すべき権限も、報告させる相手も変わります。ここが曖昧なまま選考を始めると、面接官ごとに違う人物像で評価することになり、候補者からも「設計されていないポジション」と見られます。この記事では、候補者に会う前に企業側で決めておくことを順に整理します。
CISOの役割は、会社によって違う
最初に確かめたいのは、自社が求めているのがどの型の役割かです。現実には複数の要素が混ざりますが、中心がどこにあるかを一つ決めておくと、要件の優先順位がつけやすくなります。
統制・ガバナンス型
方針と規程を整え、全社のリスクを経営と取締役会に説明する。社内の合意形成と説明の力が中心になります。
技術・運用型
監視や対応の体制を作り、セキュリティ部門を率いる。技術の判断と組織運営の経験が中心になります。
事業・製品型
自社の製品やサービスそのものの安全性に責任を持つ。開発組織や顧客との対話が中心になります。
立て直し型
重大な事故の後に体制を作り直す。短い期間での優先順位づけと、社内外への説明が中心になります。
図1 求めている役割の中心はどこか
誰に報告させるかで、言えることが変わる
報告先は組織図上の配置にとどまりません。CISOの仕事には、事業の進行を遅らせる判断や、予算の追加を求める判断が含まれます。そうした指摘を誰に向けて言えるかは、誰の配下にいるかで決まります。
| 報告先 | 起きやすいこと | 向いている状況 |
|---|---|---|
| CEO直属 | 全社の優先順位に直接関われるが、CEOの関心が薄いと埋もれる | セキュリティが事業の信頼そのものに関わる会社 |
| CIO・CTOの配下 | 技術の連携は取りやすいが、IT部門自身への指摘がしにくい | 技術・運用型の役割を中心に置く場合 |
| リスク管理・管理部門の配下 | 統制の枠組みには乗りやすいが、技術の判断が遠くなる | 統制・ガバナンス型を中心に置く場合 |
| 取締役会への定期報告を併用 | 経営陣から独立した経路ができるが、運用の手間が増える | どの報告先でも、独立性を補いたい場合 |
図2 報告ラインごとの特徴
どれが正しいかは会社によって異なります。判断の手がかりになるのは、このCISOが指摘する相手として誰を想定しているかです。指摘の相手が自分の上司になる配置では、その指摘は届きにくくなります。報告先を決めるときは、別の経路で取締役会や監査の機能に話せるかどうかも合わせて決めておくと、候補者への説明がしやすくなります。
任せる範囲と、任せない範囲を先に分ける
役割の型と報告先が決まったら、次は権限の範囲です。特に曖昧になりやすいのは、予算を自分で決められるか、危険と判断したときに公開や稼働を止められるか、という二点です。ここが助言にとどまるのか決定まで含むのかで、求める人物像は大きく変わります。
全社リスクの責任者
経営の一員として、リスクの受け入れを経営陣と取締役会に問う役割です。
セキュリティ部門の長
体制と予算を持ち、監視と対応を自ら率いる役割です。
方針の調整役
規程と枠組みを整え、各部門に働きかける役割です。
専門職としての責任者
技術の判断を示し、決定は他の役員が行う役割です。
図3 権限の強さと、仕事の中心の組み合わせ
よく起きるのは、左上の役割を期待しながら左下の権限しか渡さない形です。この場合、着任した人は責任だけを負い、決める手段を持たないことになります。候補者の多くは面接の段階でこの食い違いに気づき、そこで判断します。
要件は、置く状況から書く
要件を資格や経験年数の一覧から書き始めると、どの会社のCISOにも当てはまる文章になります。それよりも、着任時点で何が起きていて、何が終わっていれば成果と言えるかから書く方が、探す相手が具体的になります。
現状を書く
体制はあるか、直近に事故はあったか、誰が今この役割を兼ねているかを率直に書きます。
成果の姿を決める
着任後に何が整っていれば成果と言えるかを、経営陣の間で合わせます。
権限と報告先を確定する
前の節で決めた範囲を文章にし、候補者に渡せる形にします。
必須と歓迎を分ける
役割の型から見て欠かせない経験と、あれば望ましい経験を分けて書きます。
図4 要件を組み立てる順序
面接では、判断の場面を聞く
この階層の候補者は、知識や枠組みについてはよく準備しています。差が出るのは、事業側と意見が割れたときに何をしたかです。リスクを指摘して止めた場面、あえて受け入れると判断した場面、経営陣に説明して予算を得た場面、あるいは得られなかった場面を、具体的に一つずつ聞くと、その人がどの型の役割で力を出してきたかが見えます。
あわせて、技術の言葉を使わずに経営陣へ説明できるかも確かめます。取締役会での報告を想定する役割であれば、面接の中で実際に短い説明を求めてみると、着任後の姿に近いものが見られます。
候補者に会う前に、何を決めておくか
- 役割の中心を、四つの型のどこに置くか。
- 誰に報告させ、取締役会や監査の機能へ別の経路を持たせるか。
- 予算と停止の判断を、決定として渡すか、助言にとどめるか。
- 着任時点の現状を、候補者にどこまで率直に開示するか。
- 面接官の間で、どの判断の場面を聞くかを共有しているか。
CISOの採用は、肩書きではなく任せる範囲と報告先を決めるところから始まります。
期待する役割と渡す権限が食い違っていないかを、候補者に会う前に経営陣で確かめておくことが、選考を進める前提になります。
本記事は情報セキュリティ責任者の採用に関する一般的な整理であり、特定の企業や案件について述べたものではありません。