本サイト上のコンテンツは、参照目的だけのために、英語の原本から翻訳されたものです。また、本サイト上のコンテンツの一部は機械翻訳されたものです。日本語版と英語版の間に何らかの齟齬がある場合には、英語版が優先されます。当社は改善のためのあらゆる努力を行いますが、翻訳の正確性及び信頼性は保証せず、当社に故意または重大な過失がある場合を除き、不正確性又は遺漏により生じる損失又は損害に責任を負わないものとします。
州および地方政府機関は、デジタルサービスの近代化と絶え間ないサイバー脅威から重要なシステムを守るという強い圧力を受けています。同時に、多くの組織は持続的な公共部門のITスキルギャップ、制約された予算、民間雇用主からの給与競争に直面しています。
この課題を雇うために逃れることはできません。別のモデルが必要です。
私たちは、職務名だけでなく、州および地方自治体のミッションに対応できるサイバーセキュリティ人材を育成する、スキルファーストのIT人材育成アプローチを概説します。
CompTIAはベンダーニュートラルのITトレーニングおよび認定資格オプションでこのアプローチを支援し、トレーニング費用を測定可能な成果に結びつけます。例えば、稼働時間の向上、インシデントの減少、監査準備の改善などです。
政府のITおよびサイバーセキュリティの新たな現実
州や地方のリーダーにとって、労働力の課題は抽象的なものではありません。嵐の際にシステムがダウンしたり、新たな資金なしで新たな命令が届いたり、重要な専門家がほとんど記録を残さずに退職したりするたびに、その感覚が感じられます。
複数の力が同時に衝突しています。
- 特にサイバーセキュリティやクラウド分野で、公共部門のITスキルギャップが拡大しています。
- デジタルサービスへの期待が高まる中、市民はオンラインで申し込み、更新し、支払いを期待しています。
- 州の継続性要件、プライバシー、アクセシビリティに関する強制圧力。
- 高齢化した労働力と、中堅キャリアの警備人材を政府に引き込むのが難しいこと。
多くの機関では、州や地方自治体のサイバーセキュリティ職員は献身的ですが、手薄な状況にあります。脆弱性管理、アイデンティティ・アクセス管理(IAM)、インシデント対応に関する重要な知識の大部分を持ったのは少数の個人です。そうした人員が不在の場合、重要な公共サービスのサービスの信頼性やサイバーの強靭性が損なわれる可能性があります。
ミッションに対応できるIT人材は、その姿が異なります。それは、資金提供するポジションだけでなく、提供するサービスや管理するリスクを中心に組織されています。
ここで、採用と育成においてスキル優先のアプローチが戦略的な優位性となります。
なぜ政府におけるスキルベースのパイプラインが役割ベースの採用に勝るのか
政府の伝統的なワークフォース計画は、職務名から始まり、終わります。機関はより多くの「セキュリティアナリスト」や「ネットワークエンジニア」を求め、採用する人材が適切なスキルを持っていることを期待します。
政府のスキルベース採用モデルはこれを逆転させます。まずミッションに必要な作業から始め、その特定のスキルを中心に人材やトレーニングパイプラインを設計します。
職種名だけでは十分ではないとき
理論上は、ある郡には複数のネットワークエンジニア、セキュリティアナリスト、システム管理者がいるかもしれません。実際には、ディスパッチシステムのバックアップ手順を知っているのは一人だけで、ファイアウォールのセグメンテーションを詳細に理解しているのは一人だけで、ログレビューは「時間があるときに」行われます。
問題は役割ではありません。誰がどのミッションクリティカルなタスクを担当できるのか、その可視性が低いのです。
スキルベースのアプローチで、同じ部署では以下の通りです。
- ディスパッチおよび記録システムを利用可能かつ安全に保つために必要な中核業務を特定します。
- それらのタスクをスキル(例:インシデント対応、災害復旧計画、政府のIAM、ログ分析など)にマッピングします。
- CompTIA Network+、 Security+、 CySA+、 PenTest+などの政府ITトレーニングと認定資格を活用し、複数の人に共通してこれらのスキルを構築し検証しています。
州および地方自治体のミッションをタスク、スキル、トレーニングにマッピングする
タレントパイプライン の核は、ミッション→タスク→スキル→トレーニングから明確にマッピングすることです。それがなければ、トレーニングプログラムは場当たり的になり、防御が困難になります。
以下の表は、このマッピングをどのように構成するかを示しています。具体的には機関によって異なりますが、パターンは変わりません。
|
ミッションエリア |
主要任務 |
必要なスキルと能力 |
例:CompTIAパスウェイ* |
|
市民データの保護(例:CJIS) |
アクセスレビュー、監査ログ、権限変更 |
アイデンティティおよびアクセス管理(IAM)、ログ、監査・コンプライアンス、CJISコンプライアンス支援 |
|
|
デジタルサービスの稼働時間維持 |
監視、フェイルオーバー、パッチ適用、容量計画 |
ネットワーク管理、クラウドの基礎、災害復旧計画 |
|
|
ランサムウェアやサイバー攻撃への対応 |
トリアージ、法医学の調整、回収検査 |
インシデント対応および災害復旧計画、脅威検出、脆弱性管理プロセス |
|
|
レガシーシステムの近代化 |
移住計画、統合、リスク評価 |
システム分析、クラウド移行、チェンジマネジメント |
|
|
ゼロトラスト導入の支援 |
ポリシー設計、セグメンテーション、アイデンティティ強制 |
ゼロトラストの原則、政府におけるIAM、ネットワークセキュリティ |
*パスウェイは例示的なものであり、環境やNICEのような認知されたフレームワークと照らし合わせて確認する必要があります。
このマッピングを手に入れれば、政府向けのサイバーセキュリティスキル開発をより正確に設計できます。
- 特定のスキルが欠けている場合、どのミッションが最もリスクが高いかがわかります。
- これらのスキルのトレーニングは、政府の体系的な サイバーセキュリティ研修プログラムを活用して優先的に行うことができます。
- 認定資格はIT人材開発計画の中で一貫した進歩の指標として活用できます。
よくある誤りは、従業員の会話を「サイバーレジリエンスの向上」というミッションステートメントレベルにとどめ、関連する業務内容を一度も明かさないことです。タスクやスキルについてより正確に考えればするほど、トレーニング投資はより的確で防御的になります。
スキルファーストの視点で州全体の市民サービスを確保
失業手当、健康保険、ライセンスサービスを提供する州機関は厳しい現実に直面しています。市民の信頼は安全で信頼できるデジタルシステムに依存しています。
州の人事サービス機関が福利厚生ポータルの近代化を進めている一方で、詐欺未遂や資格認証攻撃の増加に直面していると考えてみてください。
役割ベースのモデルでは、デフォルトの反応はより多くの「セキュリティ」ポジションを求めることです。実際には、これらのポジションは承認が遅く、埋めるのが難しい場合があります。
スキルベースモデルでは、機関はまず重要な成果を特定します。
- 福利厚生ポータルを常に利用可能でパフォーマンス的に保つこと
- 機密個人データを保護し、適用される規制を遵守すること
- 不審な活動を迅速に検知し対応する
そこから業務はより具体的になります。
- これらの成果を、継続的な脆弱性スキャン、IAM設定、ログ分析、インシデント対応ドリル、ユーザー教育などのタスクにマッピングします。
- タスクをスキルにマッピングし、CompTIA Security+ や CySA+などの認定に基づく学習パスにスキルを合わせます。
- 政府の人材スキルアップイニシアチブを活用し、関心のあるインフラやアプリケーションスタッフをサイバーセキュリティの人材パイプラインに沿ってサイバー職に移しましょう。
スキルやタスクが事前に定義されているため、機関は監督機関に対して、特定の訓練投資が特定の任務成果をどのように支えているかを示せます。これにより、長期的に資金を維持しやすくなります。
CompTIAがスキルファーストの人材パイプラインを支援する方法
CompTIAの 認定資格 および トレーニングソリューション は、コンピテンシーベースのトレーニングフレームワークの基盤となっています。
主な要素は以下の通りです。
-
エントリーレベル(A+、 Network+)からセキュリティコア(Security+、 CySA+、 PenTest+)、そして上級の役割(SecurityX、 Cloud+)までのベンダーニュートラル認証資格パスウェイ 。
-
CompTIAオンデマンドビデオベースのソリューションのような柔軟な学習オプション。
-
DoD 8140やNICEなどの認知された枠組みとの整合性により、機関が自らの労働力戦略が広く受け入れられている基準に基づいていることを示すことができます。
CompTIAはベンダーニュートラルであるため、機関はこれらの認証を基準とし、必要に応じてベンダー固有のトレーニングを組み合わせることができます。
ミッションに対応できるIT人材を構築するための最初のステップ
ワークフォースモデルを再構築するという考えは圧倒されることがあります。重要なのは、海を沸騰させないことです。まずは1つのサービス、1つのミッションエリア、1つのスキルセットから始めましょう。
集中したスタートプランは次のようなものかもしれません:
- サービスを稼働させ、安全に保つタスクを文書化してください
IT、セキュリティ、ビジネスの関係者をまとめ、そのサービスで最も重要な定期的なタスク(監視、バックアップ、アクセスレビュー、パッチ適用、ランブック)をリストアップします。 - それらのタスクの背後にあるスキルを特定しましょう
各タスクをスキルに変換しましょう。例えば、「アクセスログのレビュー」にはIAM、ログツール、基本的なインシデントトリアージの知識が必要です。 - 現在の補償内容を評価する
アンケート、業績評価、認証データを活用して、どのスタッフがどのタスクを確実にこなせるかを確認しましょう。ギャップや単一故障点が起こることを覚悟してください。 - 訓練と資格を意図的に合わせること
ギャップを埋めるサイバーセキュリティ研修プログラムや関連資格を選びましょう。例えば、基礎的なセキュリティタスクには Security+ 、監視・分析には CySA+ 、ネットワーク関連タスクには Network+ があります。 - サービスに関連した成果を追跡
稼働時間、インシデント量、検知・対応までの時間、監査結果を監視します。時間をかけて、これらの指標の改善を労働力計画に結びつけてください。
一つのサービスで成功を収めたら、同じパターンを他のサービスにも拡大し、より広範なSLED人材パイプライン戦略を徐々に正式に構築できます。
スキルギャップからミッションの整合まで
公共部門のITスキルギャップ は すぐには解消されません。しかし、それがあなたの機関の未来を決める必要はありません。
政府における役割ベースの採用からスキルベースの採用へと移行し、構造化されたサイバーセキュリティ人材パイプラインを構築することで、州および地方のリーダーは以下のようなことが可能になります。
- 重要なサービスやデータをより確実に保護する
- 限られた研修や人員予算をより有効に活用する
- 公共部門のITおよびサイバーセキュリティへのキャリアパスをより公平かつ透明性のあるものに創出する
CompTIAは、あなたのミッション、使命、現実に沿った政府のITトレーニングおよび認定オプションで、その変革を設計・実行する準備ができています。
もし一般的な「スキルギャップ」の話から、ミッションに即したワークフォース戦略へと移行する準備ができているなら、今が始めるのに最適な時期です。