CSIRTリーダーシップの真髄：恐れを取り払う
私はCSIRTの世界で26年を過ごし、数多くのインシデントに立ち会ってきました。また、いくつかのセキュリティチームを立ち上げ、マネジメントも担ってきました。そうした中で常に考えていることがあります。それは、CSIRTの成果は技術力やツールの性能だけでもたらされるものではなく、リーダーシップのあり方と、リーダーシップによって築かれる文化の強さによって決定づけられる、ということです。
サイバー空間は絶えず変化し、予期せぬ事態と常に隣り合わせです。そのような環境でチームの能力を最大限に引き出し、組織を守り抜くために、CSIRTのリーダーとはどのような存在であるべきでしょうか。それは単なる指示者でも、最高の技術者でもありません。
1. 心理的安全性の確保
CSIRTの活動は常に「恐怖の会話」と隣り合わせです。メンバーは自己の失敗や見落としについて話すことを本能的に恐れ、次のような不安を抱えています。
「こんな簡単なミスをしたことがわかったら、無能だと思われるのではないか」
「問題が起きたことを報告したら、上層部に非難されるのではないか」
こうした恐れは報告を遅らせ、被害を生む、あるいは被害を拡大させる要因になりかねません。CSIRTのリーダーの仕事とは、まさにこの恐れを払拭したチーム作りに努め、自由に発言できる環境をチームと組織にもたらすことなのです。
そこで参考になるのが、原子力空母の運用など、極めて高い安全性が求められる高信頼性組織（HRO）の考え方です。HROが持つ特性、特に「失敗へのこだわり」はCSIRTにそのまま適用できます。失敗をだれかの責任として非難するのではなく、失敗の原因や失敗を誘発したものが何なのかを分析し、失敗から学ぶ文化を醸成することが大事です。
HROの視点では、リーダーはミスの報告に対して非難の言葉を発するべきではないと捉えます。「言いにくい事だったはずなのに、よく伝えてくれた」などというふうに、謝意の言葉をかけましょう。それは、リーダーシップによる心理的安全性を確保する第一歩になります。心理的安全性が得られなければ人は沈黙し、結果としてより大きな問題につながっていくかもしれないのです。
2. 真実を伝える
（1）横断的メッセンジャー：情報のボトルネックを解消する
アメリカの社会学者ロン・ウェストラム博士は、組織文化の3つのモデルを示しています。
- 「病理的」な組織文化では情報は権力闘争の武器となり、意図的に隠蔽されたり溜め込まれたりします。情報の透明性の低下は避けられません。
- 「官僚的」な組織文化では、情報は標準的な経路でしか流れません。危機的な状況では対策が手遅れになりがちです。
- 「生成的」な組織文化では、情報は適切な方法とタイミングで、必要としている人に伝達されます。
CSIRTはIT、法務、広報などの部署や経営層を行き来しながら活動できるのが理想的です。とりわけインシデント対応という危急の事態では、CSIRTのリーダーには部署や役職の壁を越えて、迅速な情報伝達と信頼の橋渡しを行う、「メッセンジャー」としての役割が求められます。しかし、それは緊急時に限ったことではありません。むしろ、常日頃から上述の「病理的な組織文化」や「官僚的な組織文化」で起こりがちな情報のボトルネックを排し、「生成的な組織文化」＝「必要な情報が必要な人に適切なタイミングで届く文化」を培う役目を担っているのです。
（2）メッセンジャー：真実の伝達と変革の促進
インシデントの発生時、私たちが経営層や関係部署に伝える情報は、技術的なデータを超えたものです。それは自組織の脆弱性という、できることなら見聞きしたくない事実です。
CSIRTのリーダーは耳当たりの良い言葉ではなく、データに基づいた真実のメッセージを伝える勇気を持たなければなりません。ただ、そのメッセージは現状維持を望む組織に対して変革を迫るものでもあります。組織をより強靭にするために、リーダーはこのメッセージを粘り強く伝え続け、困難な道ではありますが、組織の姿勢を変えていく努力が必要です。
3. チーミングとリーダーシップ
CSIRTの仕事は定型業務ではありません。いつ、どこで、どんな脅威に直面するか、まったく予測不可能です。そうした状況の下では、ハーバード・ビジネス・スクールのエイミー・C・エドモンドソン教授が提唱する、チーミングとリーダーシップの概念が非常に参考になります。
チーミングとは必要に応じて集結した人々が協力し合い、問題解決に向けて迅速に対処することです。インシデント対応はまさにチーミングといえます。
チーミングを成功させるためのリーダーの役割
インシデント発生時においてチーミングを成功させるためには、CSIRTのリーダーには次の視点が求められます。
- 枠組みの提示：前向きな思考を後押しする。「危機的な状況だ」と焦りを煽るのではなく、「学ぶべき最高の機会であり、組織が一丸となって解決すべき課題だ」とのフレーミングを行いましょう（枠組みの提示）。リーダーによるこうした冷静なフレーミングが、チームに安心感と目的意識を与えます。
- 行動：小さなステップを促す。不確実な状況の下では、完璧な対応計画を立てて実行することは不可能です。そこで、リーダーは「次に何をすべきか」という小さな、しかし具体的な行動を示して、メンバーが動き出すことを促しましょう。インシデントを迅速に封じ込めるためには、まず行動が必要です。
- 議論：知識の多様性を引き出す。関係する部署からのメンバーはもちろん、たとえインシデント対応の経験が浅いCSIRTメンバーでも、積極的に話を引き出しましょう。その人ならではの専門性を尊重しながら、「あなたの意見は？」と問いかけるのです。こうした議論こそが複雑な事象を多角的に分析し、最善の対応を導きます。
そして何より、まずメンバーを信頼することから始めましょう。危機的な状況の下では、個々人の能力を確かめている時間はありません。リーダー自身の経験や倫理観に基づき、リスクは承知の上で信頼を先に「貸し出す」ことで、迅速かつ効果的なチーミングが可能になります。
結論：未来のセキュリティは今日の対話から
多くの組織では、インシデント対応の計画や手順を整えています。にもかかわらず、ランサムウェアによる被害が繰り返し発生していますし、復旧に時間がかかっているインシデントもたくさんあります。対策をしていながら、なぜ、大きな被害を被ったり、対応の遅れが起きたりするのでしょうか。サイバー攻撃の手法はますます巧妙になり、攻撃者同士の連携もあって高度化しているため、対策が追いつかない側面は確かにありますが。
CSIRTに関する私自身の活動を振り返って感じるのは、ポリシーや手順書を作っただけで立ち止まっているチームが少なからずある、ということです。CSIRTもCSIRTのリーダーも、セキュリティ管理を行ってインシデントを待ち構えるだけでなく、自らインシデントを見つけなければなりません。
そのためにも、セキュリティは方策でも理論でもなく、「絶え間ないプロセス」であると意識しましょう。先述したように、CSIRTのリーダーは組織の心理的、文化的な安全を促す役割も担っています。恐れずに失敗を語ることのできる環境、真実を隠さず伝えることのできる環境を、CSIRTのリーダーが率先して整えていくことが重要です。
日々、CSIRTのリーダーは広く話す文化を守り、育み、組織の回復力＝レジリエンスを高め続けなければなりません。なぜなら、明日を安全にする鍵は、今日、私たちが交わすオープンで正直な対話の中にあるからです。
初版：2026年2月1日
著者プロフィール
杉浦 芳樹
CSIRT エバンジェリスト、大手通信会社CERT所属
1998年よりコンピュータ緊急対応センター（JPCERT/CC、現在のJPCERTコーディネーションセンター）に勤務し、CSIRTの活動に携わる。
2004年に大手通信会社に入社、CSIRTの設立を行い、現在もメンバーとして活動中。
インシデントハンドリングチーム及びCSIRT構築/運用支援に携わっている。
【所属団体】
日本シーサート協議会（NCA）理事(2022/7～)
日本シーサート協議会（NCA）運営委員(2007～2012)
日本シーサート協議会（NCA）チームトレーニング委員長（2011～）