サイバー脅威インテリジェンスで活躍する女性たち：決まった道筋はない

サイバー脅威インテリジェンス（CTI）に携わる人物を思い浮かべてほしいと言うと、多くの人がかなり特定のイメージを抱きます。コンピュータサイエンスの学位。SOCでの数年間の経験。技術面で実力を証明してから、インテリジェンス分野へ異動する、というものです。

ここ数週間、当社の新しいeBookの制作過程で行われたインタビューを視聴し、脅威インテリジェンス分野で活躍する16人の女性たちが、どのようにしてこの分野に足を踏み入れたのかを語るのを聞きました。彼女たちの経験は、CTIでのキャリアを考えている人だけでなく、将来の人材を採用し育成するリーダーにとっても学びとなります。

ほとんど誰も、従来型のキャリアパスを歩んでいませんでした。

ある人は英文学・創作の学位を持っています。ある人は10年間家庭で子育てをしていました。ある人はセキュリティツールに触れる前に、バリスタ、ウェディングプランナー、ITリクルーターを経験しています。今では、彼女たちはランサムウェアグループを追跡し、脅威インテリジェンス機能を運営し、企業を築いています。

彼女たちのストーリーを合わせて見ると、CTIへの入口がはるかに多様であることが分かります。ここではそのうち3人の話を抜粋して紹介します。eBookには16人全員のストーリーが収録されています。

サイバー脅威インテリジェンスへの入口は一つではない

Rebecca Taylor：パーソナルアシスタントから脅威ハンターへ

Rebecca Taylor氏は英文学・創作の学位を持っています。SecureWorksにパーソナルアシスタントとしてヘッドハンティングされ、お茶の準備や会議室の予約、経費処理を担当していました。しかし、わずか2週間で、この業界が自分にもたらしうる可能性が見えてきました。

「努力すれば、サイバー業界で自分の望む存在になれると本気で感じました。そして本質的に、私はそうやってキャリアを歩んできました。チャンスをつかみ、瞬間をつかみ、自分を奮い立たせることによって。」

彼女は昇進を重ね、同社初のインシデント指揮チームに加わり、大規模なランサムウェアインシデントの対応にあたりました。現在はSophos X-Opsで、アンダーグラウンドフォーラム上に複数のペルソナを運用し、アクセスブローカー、データ漏えい、新たなランサムウェアグループを追跡しています。会議室の予約をしていた頃とは大きな隔たりがあると彼女は語ります。

「私はそうやってキャリアを歩んできました。チャンスをつかみ、瞬間をつかみ、自分を奮い立たせることによって。」— Rebecca Taylor氏、Sophos X-Ops Counter Threat Unit リサーチャー

Cheryl Biswas：10年間の家庭生活からハッカーカンファレンスの常連へ

Cheryl Biswas氏は10年間、子育てのため職場を離れていました。復帰後は小さなマネージドサービス企業の最下層からスタートし、必要なことは何でもこなしました。やがてStuxnetに関する記事を読んだとき、長年眠らせていた政治学の学位が突然意味を持ち始めました。

「Kasperskyのニュースレターを見つけて、最初に読んだ記事の一つがStuxnetについてのものでした。私は政治学の学位を持っていて、テクノロジーと地政学、あらゆるものが衝突する瞬間を目の当たりにして、突然『なるほど』という気づきがありました。自分がやりたいことが分かった。これは実在するのだと。」

彼女は見つけられる限りの資料を読み、質問を重ねることで情報セキュリティを独学しました。コミュニティの人々が彼女をさまざまな場に招き始めました。インディアナポリスで開催されたハッカーカンファレンスに、自らを「中年の主婦」と称して参加しましたが、誰も驚きませんでした。今では背後の壁にカンファレンスのランヤードがずらりと並び、その多くはスピーカーバッジです。現在はサイバーセキュリティリサーチャーとして活動しています。

「自分がやりたいことが分かった。これは実在するのだと。」— Cheryl Biswas氏、サイバーセキュリティリサーチャー

Maril Vernon：ウェディングプランナーからペネトレーションテスターへ

Maril Vernon氏は、30歳のときに何の経験もなくサイバーセキュリティ業界に飛び込みました。その前はマーケティング職、さらにその前はバリスタ、ウェディングプランナー、ITリクルーターを経験していました。サイバー部隊に入るために軍に再入隊し、その後ガバナンス・リスク・コンプライアンス（GRC）の職に就きました。ペネトレーションテストの求人が出たとき、彼女にはそのための技術的スキルがありませんでした。

それでも彼女はそのチャンスを求めました。

「今の私が、あなたが欲しいと思うペンテスターでないことはお互い分かっています。でも、チャンスをください。1年後には、あなたが望んでいた人材になっています。」

彼女はその職を手に入れ、そこからペネトレーションテスト、レッドチーム、アプリケーションセキュリティ、コンサルティングとキャリアを重ね、現在のHorizon3でのフィールドCISOという役職にたどり着きました。

「チャンスをください。1年後には、あなたが望んでいた人材になっています。」— Maril Vernon氏、Horizon3 Principal Technical Marketing Manager

Rebecca氏、Cheryl氏、Maril氏はそれぞれ全く異なる出発点から、多くの採用担当者が審査基準とするプロフィールには当てはまらない経験やスキルをもとに、成功したCTIキャリアを築き上げました。

分野を超えて通用するスキル

16通りの全く異なる出発点。では、彼女たちに共通するものは何でしょうか。

まず挙がるのは好奇心であり、それは能動的なものです。CERTH/ITIのシニアサイバーセキュリティエンジニア兼ペネトレーションテスターであるMariana Mazi氏は、新しいCVEについて読むと、自らVMを構築して試してみます。評価の場で遭遇する前に、その脆弱性がどのように挙動するかを理解するためです。

RichemontのCTIマネージャーであるAmanda Capobianco氏は、同社にCTI機能ができる前にインターンとして入社しており、それをより率直に表現しています。

「誰もが技術面ばかりを強調しますが、実際には好奇心を持ち続け、学び続けたいという意欲、優れた傾聴力、優れた問題解決力こそが重要です。そうしたソフトスキルこそが、技術的な資格をすべて持っている人たちとの違いを生み出すのです。」

次に挙がるのは不確実性への耐性です。脅威インテリジェンスが完全な全体像を示すことはほとんどなく、複数の寄稿者が同じ点を指摘しています。不確実性を認めたうえで調査を進めることは、自信ありげな推測よりも大きな信頼を築くということです。

3つ目の資質は、多くの人を驚かせます。コミュニケーション能力です。Deakin UniversityのAssociate Director of Cyber Security Threat IntelligenceであるRachel Mansson氏は、同機能をゼロから構築している最中であり、この分野に関する最大の誤解は、参入に技術的な背景が必要だという考えだと指摘します。

「技術者である必要があるという誤解です。脅威インテリジェンスで行うことはすべて、コミュニケーションとステークホルダー対応に尽きます。インテリジェンスがいくら入ってきても、それをビジネスの文脈に翻訳できなければ、何の意味もないからです。」

「技術者である必要があるという誤解です。脅威インテリジェンスで行うことはすべて、コミュニケーションとステークホルダー対応に尽きます。インテリジェンスがいくら入ってきても、それをビジネスの文脈に翻訳できなければ、何の意味もないからです。」— Rachel Mansson氏、Deakin University Associate Director of Cyber Security Threat Intelligence

採用にとっての意味

これら16人の女性のストーリーを総合すると、チームを築くすべての人にとって明確な教訓が浮かび上がります。

彼女たちの異色の経歴は目を引きますが、より重要なパターンはその後に起きたことにあります。多くの場合、履歴書にすべての資格が反映される前に、誰かが彼女たちに責任を与えていたのです。

現在Bupa APACでCyber Threat Intelligence Managerを務めるSaba Bagheri氏は、CTIキャリアの初期に、上司から脅威インテリジェンス機能をゼロから構築するよう依頼されました。戦略を定義し、プロセスを確立し、ステークホルダーとの関係を築き、それがなぜ重要なのかを説明する必要がありました。彼女は、成熟したチームを引き継ぐよりもはるかに多くを学べたと語っています。

私がずっと大切にしてきた教訓は、優れたリーダーは経験だけを採用するのではなく、可能性を見抜くということです。誰かが私にそのチャンスを与えてくれたからこそ、今の私も、まだ完全に準備ができていないと感じている人に機会を与えることで、同じことを他の人のためにしようとしています。

私がずっと大切にしてきた教訓は、優れたリーダーは経験だけを採用するのではなく、可能性を見抜くということです。誰かが私にそのチャンスを与えてくれたからこそ、今の私も、まだ完全に準備ができていないと感じている人に機会を与えることで、同じことを他の人のためにしようとしています。 — サバ・バゲリ、サイバー脅威インテリジェンスマネージャー、Bupa APAC

アレックス・キーディ氏は現在Flashpointのシニア・ストラテジック・アドバイザーを務めていますが、Intel 471にいた頃、メンターから、自分がまだ経験したことのないプロジェクトや、管理したことのない構築業務の裁量を、履歴書が「準備完了」と語るより前に与えられました。レベッカ・テイラーは、本人の言葉を借りれば「ただ自分を見出してくれた」経営幹部によって、Counter Threat Unitへ異動することになりました。

これらは、可能性を見極めた上での的確な賭けであり、結果としてそれが功を奏しました。

このパターンは、組織がCTIの職務をどのように埋めているのかという、当然の疑問を浮かび上がらせます。好奇心、曖昧さに対する耐性、そしてインテリジェンスを事業上のアクションに変換する力が中核的なスキルであるなら、技術的な経歴を基準にした履歴書選考は、見るべきポイントを見誤っていることになります。その選考方法は、確かに「それらしく見える」人材を確実に拾い上げるでしょう。しかし、自主的な取り組みの中に2年分の実績を積んできた人材を見逃してしまうことにもなります。

このeBookに登場するすべての女性は、誰かが「彼女に何ができるのかを見極めよう」と決めたからこそ、この分野に足を踏み入れることができました。

Women in CTIを支えるコミュニティをご紹介します

Women in CTIは、創設者たちが繰り返し目にしてきたあるパターンから生まれました。Filigranのシニア・ソリューション・リードであるメアリー・ダンジェロ氏は、自身が参加していたインテリジェンス共有チャネルやコミュニティにおいて、貢献する女性があまりにも少ないことに気づき、Filigranのカスタマーサクセスマネージャーであるエイナット・アルゴン氏とともに、この取り組みを共同で立ち上げました。

この記事では、そのうち3人のストーリーを紹介します。eBookにはさらに13人のストーリーが収録されており、ロシアの影響力作戦を10年にわたるオリンピック大会を通じて追跡したカウンターテロリズムアナリストや、現在はCanvaで脅威インテリジェンスとレッドチームを率いるゲーム開発者、さらにはランサムウェア集団との交渉に携わるようになったリクルーターなどが登場します。

新しいeBook、Women in CTI: The Careers, Lessons, and Stories Shaping Cyber Threat Intelligenceで、16人全員のストーリーをお読みください。

ぜひ、Filigranコミュニティ Slackの#women-in-cti channelでも議論にご参加ください。そこでお会いしましょう。