組織内の個人の視点やスキルは、サイバーリスク管理を強化する文化の変革を後押しできます。
テクノロジーへの依存に伴うリスクの管理となると、議論は技術ベースのソリューションに偏りがちで、サイバーリスクを生み出す上で人が果たす役割、そして逆にサイバーリスクから守る上で人が果たす役割は見過ごされがちです。組織を守るために個人が持つ集団的な力を認識することこそが、サイバーレジリエンスにおける文化の変革を促すことができるのです。
「データセキュリティには多くの注目が集まっており、それは当然のことです。しかし、サイバーに関するリスクはそれをはるかに超えています」と、ある世界的エネルギー企業のチーフ・リスク・オフィサーは述べています。「サイバー障害は、ハッカーだけによって引き起こされるものではありません。悪意がないことの多い人々――従業員だけでなく、請負業者や顧客さえも――が、サイバーリスクを構成する要素の一部になっています。しかし、彼らが事業の成功に真摯に取り組み、適切な知識と手順を身につけさせれば、他者を促すことで、サイバーリスクへの認識を高める文化づくりに大きな役割を果たせることが見えてきています。」
通常の所管範囲に入らないことは他の誰かの責任だと決して想定すべきではありません。なぜなら、おそらく他の全員も同じように考えているからです。そしてそうした場合、データプライバシーに関わる問題のすべてに対応する資格のない人に、結局その役割が回ってくることがよくあるのです。」
ビジネスリーダーもまた、取り組みを一段引き上げる必要があります。Ernst & Young の「2014 Global Information Security Survey」によると、リアルタイムのサイバーリスクに関する洞察をすぐに利用できる組織は20%未満であり、53%の組織が、サイバーセキュリティの業務は一般に適切な人員配置がなされておらず、また熟練した人材によって実行されていないと回答しています。
「経営陣の関与や取締役会による監督が欠けていると、企業は必要な重点を欠き、必要な投資を行えないおそれがあります」と、Ernst & Young LLP のプリンシパルであり、EY Center for Board Matters にも所属する Ruby Sharma は述べています。「リスクの水準に見合ったサイバーリスクへの対処のために経営陣が適切に資源を配分しているかを取締役会が問いただすことは、取締役会の責任です。テクノロジーはすべての部門や企業構造に及び、影響を与えるため、取締役会は、経営陣のサイバーセキュリティ計画に、主要な全部門のビジネスリーダーを含む部門横断的なチームがあるかどうかについても検討すべきです。」
定められた責任範囲を超えて考える
相互に連関するすべてのリスクを管理する上での基本原則は、事業部門が縦割りではなく協働すべきだということです。個人レベルで同様の取り組みを促すことは、人々がサイバーリスクの管理において自分が果たせる役割を直接実感するのに役立ちます。Zurich の EMEA 地域 Global Corporate 部門で Head of Security & Privacy を務める Jérôme Gossé は、人々がサイバーリスクについて「ああ、そうか」と気づく機会は十分にあると述べています。「エネルギーインフラの主要事業体に供給している製造業者との最近の会議で、同社のデータプライバシー、企業秘密、知的財産に関するリスクについて議論し、評価していました。テーブルには、従業員データの機密性の管理を職務に含むデータプライバシー責任者もいました。顧客の機密データ――その一部は極めて機微なもの――をどのように管理しているかを尋ねたところ、彼は『それは私の責任範囲ではありません』と答えました。これは、誰かが自分に違いを生み出せると気づくべき瞬間です。もしそれが自分の責任ではないと分かっているなら、いったい誰の責任なのでしょうか。通常の所管範囲に入らないことは他の誰かの責任だと決して想定すべきではありません。なぜなら、おそらく他の全員も同じように考えているからです。そしてそうした場合、データプライバシーに関わる問題のすべてに対応する資格のない人に、結局その役割が回ってくることがよくあるのです。一方で、誰の責任かを確認するために追及し、誰も担当していないと分かった場合には、それがサイバーリスクであると特定でき、適切な人々に警告することができます。」
現在、サイバーリスクの新たな性質は、システミックなものになりつつあることです。信用危機を招いたリスクがそうであったように。」
Gossé は自身の業務の中で、企業がサイバーリスクをどれほどうまく管理しているかは、その規模、業種、所在地では判断できないと指摘しています。しかし、従業員の関与の度合い、ひいてはサイバーリスク管理に主体的に取り組む可能性を示す明確な兆候は存在します。「組織内の文化は、非常に速やかに明らかになります」と彼は述べています。「我々の引受プロセスで最初に確認するのは、経営陣が本当にサイバーリスクを理解しているかどうかです。彼らは実際に関与しているか。インシデントを短時間で把握しているか。それとも、IT部門に任せきりにしているだけか。経営陣が関与していないと分かれば、従業員も関与していないと想定できます。そしてそれこそが、サイバーリスクの怠慢がほとんど発生する場所なのです。」
影響を与えるインフルエンサー
サイバーリスク管理へのエンタープライズ的なアプローチは、そうでなければ視野に入らないかもしれない新たな発想を取り込むため、包摂の網を広げるものであり、それによって企業全体で優先事項を強化することにつながると、Zurich の Global Underwriting Manager（Professional & Management Liability）である Tim Stapleton は述べています。「プロセスには多くの機能が関与する必要があり、そうなると、CEOから最前線の従業員に至るまで、さまざまな人材が関心を持ち始めます」と Stapleton は述べています。「情報セキュリティは、IT部分だけでなく、大企業と中小企業の双方が、企業情報セキュリティのために積極的な役割を担うことで成り立っています。企業全体で優先事項を強化するには、より広範なアプローチが必要です。」最近の Ponemon Institute の調査は、サイバーリスク管理への取締役会レベルの関与が、サイバー侵害のコストの削減に役立つことを示しました。その理由は何でしょうか。サイバーセキュリティは単なるITの問題ではなく、経営上の問題でもあるからです。最大の弱点はしばしば人であり、サイバーリスクに対する認識の不足です。その認識づくりは、基本的なデータプライバシーとセキュリティから始まります。データ所有者を特定し、データを適切なセキュリティ区分で分類し、そのうえで適切なレベルのセキュリティでそのデータを取り扱うことです。すべての従業員は、従業員を騙してマルウェアをダウンロードさせるフィッシング攻撃など、サイバー攻撃者が用いるさまざまな手口を認識し、システムが侵害されるのを避けるために何をすべきかを知っておく必要があります。
新たな視点
サイバーリスク管理へのすべてのための一人、一人のためのすべて（all-for-one, one-for-all）というアプローチは、もう一つのリスクからも守るのに役立ちます。そのリスクとは、サイバーリスク管理の負担を技術の専門家に押し付けることです。これは「落とし穴」だと、Zurich の Global Corporate チーフ・リスク・オフィサーである John Scott は述べています。「これは技術だけでなく、人と行動の問題であると理解することが重要です」。「2008年の金融危機の後の数年間は、それがリスク管理の失敗によるものだと言うのが流行りました。しかし、関係する主要金融機関には、十分すぎるほどのリスクマネージャーがおり、彼らは皆、金融商品やポートフォリオの具体的なリスク状況を非常に慎重に調べていました。彼らが見ていなかったのは、より大きな全体像であり、金融システム全体で持続不可能な水準の信用リスクが積み上がっているという事実でした。現在、サイバーリスクの新たな性質は、システミックなものになりつつあることです。信用危機を招いたリスクがそうであったように。その背景には、Internet of Everything や BYOD［bring your own device（個人所有デバイスの業務利用）］を含む多くの動向があり、攻撃に対して脆弱な侵入口を増やしています。また、クラウドコンピューティングでは、サーバーファームが同一拠点に置かれたり、システミックリスクを生むような形で接続されたりすることがよくあります。主要なクラウドプロバイダーに対する成功したサイバー攻撃は、そのサービスを利用する多くの地域の多くの企業を停止させかねません。これらすべてが組み合わさることでリスクの性質が変わり、サイバーリスク管理の議論は取締役会レベルから始める必要があるという、十分な理由になります。」
重要ポイント
組織を守るために個人が持つ集団的な力は、サイバーレジリエンスにおける文化の変革を促すことができます。
取締役会の責任は、経営陣に異議を唱え、組織のサイバーリスクの脆弱性が持つ戦略的かつシステミックな性質を理解させるとともに、サイバーリスク管理に資源を適切に配分させることです。
組織内の全員が、サイバーリスク管理を理解し、その責任を引き受けるべきです。
サイバーセキュリティは単なるITの問題ではなく、経営上の問題です。サイバーリスク管理に様々な事業部門が関与することで、サイバーリスクから守る上で人が果たす重要な役割が明らかになります。すべてがテクノロジーの問題というわけではありません。
本記事は Zurich Knowledge Hubとの協力により公開されています。本記事の掲載は、世界経済フォーラムによる見解の支持を意味するものではありません。
最新の Agenda を追うには、 週刊ニュースレターにご登録ください。
執筆者：John Scott は Global Corporate のチーフ・リスク・オフィサーです。Tim Stapleton は Zurich General Insurance の Professional & Management Liability における Global Underwriting Manager です。Jérôme Gossé は Global Corporate EMEA の Head of Security & Privacy です。
画像：2013年5月21日にベルリンで撮影されたこのイラスト写真では、コンピューター画面の前に手のシルエットが映っています。REUTERS/Pawel Kopczynski。