爆弾処理班の隊員たちは、一つの爆発物を無効化するたびに長期休暇を取る。
記者はこの話をロマンあふれる本当の話として信じていたが、どうやら都市伝説らしい。かなりあからさまに「アメリカ合衆国の警察にも軍隊にもそういう既定は無い」と ChatGPT に言われたし「考えてもみてください。そんなことしていたら運用に差し支えるでしょう。そんなこともわからないんですか」そういう口調ですらあった。もはや記事冒頭から馬鹿丸出しである。
だが、この都市伝説が語り継がれる理由は明白である。それは「死と隣り合わせの極限状況に身を置く者には、それに見合うだけの報いがあってしかるべきだ」という、人間の本能的な共感がそこにあるからだ。
サイバーセキュリティの現場もまた、ある種の戦場だ。深夜のアラートに飛び起き、見えない敵との息詰まる攻防を繰り広げ、一瞬の判断ミスが組織全体を危機に陥れかねない緊張感の中でいつ終わるとも知れない業務を続ける。しかし多くの組織では、この「デジタルの爆弾処理」に従事する担当者たちへの報いが十分に検討されているとは言い難い。
今春の RSA Conference 2025 USA で出色（しゅっしょく）だった講演のひとつが、コロラド州の地方銀行 First Bank が披露した、画期的な人事制度上のアプローチだった。彼らは「インシデントレスポンス対応特別休暇」とも呼ぶべき独自の制度を武器に、業界を悩ませる「燃え尽き症候群」という難敵に真正面から挑んでいる。2022 年以降のセキュリティ部門の離職者ゼロという数字が、その制度の有効性を物語る。
ここ日本でも茂岩兄貴や部下思いのキャリアの CISO あたりにこんな制度を是非検討してほしいものだと思った。
--
本セッションには、First Bank の CISO ブレンダン・スミス氏と、同銀行のセキュリティディレクターであるエミー・ダンフィー氏が登壇した。セッションのテーマは、仕事の困難さや、業務への度を超した傾注による「燃え尽き症候群」だ。これはサイバーセキュリティ業界における重要な問題であり、月曜の朝 8 時半に誰もが話題にするテーマであると両名は述べている。
CISO のスミス氏と、セキュリティディレクターのダンフィー氏、そして兼務を含む 2.5 人のマネージャー、さらに 16 名の実務担当者の約 20 名が First Bank のセキュリティチームの構成だ。担当する範囲は物理セキュリティも包含する。
チーム全体でのべ約 130 年のセキュリティ業界経験を持ち、平均勤続年数は約 10 年、2024 年には 1,800 件の Splunk のアラートを処理した実績がある。この First Bank のセキュリティチームは 2022 年以降、いわゆる「望ましくない退職」ゼロを維持している。
彼らは燃え尽き症候群というテーマを今年の RSAC に持ち込んだ理由として、昨年の RSAC で燃え尽き症候群が大きな焦点だったことを挙げている。数年前の RSAC の喫緊課題は「採用難」だったが、それ自体が仕事の性質による燃え尽き症候群と深く関係しているとも考えられるという。
負荷の高い仕事における採用はそもそも困難だが、そうした状況のもとで 2022 年以降、燃え尽き症候群や仕事への不満による退職がないことが彼らのプライドであり、そこまでに至る試行錯誤や取り組みを共有したいという。
● インシデントレスポンス対応休暇の実践
First Bank の第一の実施事項として、インシデント対応者に提供する重要な制度が「フレックスタイム」である。First Bankのセキュリティ担当者におけるフレックスタイムとは、業務の開始と終了の時刻を自由に決定できる、という本来の意味ではなく、臨時に与えられる休暇的な時間として運用される。フレックスタイムは有給休暇（PTO）と同じように使えるが PTO 残高からは差し引かれない。
休暇として使えるフレックスタイムは、インシデント対応に従事した時間に応じて付与される。下記の通りだ。
・ 5 時間のインシデント対応あたり 1 日分のフレックスタイム
・週末にインシデント対応した場合は 2 日分のフレックスタイム
・夜間対応でも 2 日分のフレックスタイム
これは必ずしも目新しい概念ではないものの、燃え尽き症候群対策として同行が重視している制度だ。
たとえば、昨晩にチームの何人かが徹夜で対応していた場合、その担当者全員は今日と明日の大半をフレックスタイムとして休み、睡眠負債や私事の遅れを回復することができる。大事なのは「境界を明確にすること」だという。熱心な社員ほど休みを取らず働き続ける傾向があるため、強制的に休ませる仕組みと文化を作ったのだという。
ルールでは、インシデント対応で 5 時間稼働するごとに、丸 1 日のフレックスタイム付与する。8 時間未満でも 8 時間分を付与する方針だ。週末や夜間対応のボーナスは、深夜や家庭時間の犠牲は感情的負荷が大きく、等価以上で報いるべきだという考えがあるという。
重要な点がもうひとつあって、このフレックスタイムは、役職を問わずインターン、マネージャー、役員に至るまで全員に適用される。通常の勤務外の労働を、組織として認識し、評価もしていることの明確なメッセージにもなると説明された。通常業務とは質が違うんだという考え方にシビれるし憧れる。
