重大なセキュリティ侵害が引き続きニュースの見出しを飾るなか、企業は差し迫った脅威そのものに焦点を当てる段階から、その潜在的な財務的影響を算定する段階へと移行せざるを得なくなっています。
企業はサイバーセキュリティに数十億ドルを投資していますが、 セキュリティ技術への支出に対する平均リターンはわずか14％にすぎません。データ侵害のコストは毎年上昇し続けています。
それにもかかわらず、投資家や株主は侵害のニュースに強く反応しません。
Targetの株価は、同社が被害に遭ったと明らかにした後、11％下落しました。それは、 小売業界でこれまでに発生した最大級の侵害の一つでした。しかし、株価はすぐに持ち直しました。現在、株価は侵害前と同じ水準で取引されています。
もう一つの大規模なデータ侵害被害企業であるHome Depotの株価は過去最高値まで上昇しており、同社店舗で決済カードを利用した顧客には、信用情報のモニタリング付き本人確認情報保護サービスを1年間無料で提供しています。JP Morganでのデータ侵害の報道は、同社の株価にほとんど影響しませんでした。株主は、大規模なサイバー侵害であっても企業の将来に長期的な影響は及ぼさないと確信しているようです。
サイバーレジリエンスの提唱者は長年、企業はすでにハッキング被害に遭っていると想定し、その前提に基づいて戦略を策定すべきだと述べてきました。また、顧客はデータ窃取のニュースに「鈍感」になっているという見方もあります。しかし、その想定は誤りです。
Experianによる調査は、国際的な信用情報報告大手である同社の調査によると、ブランドの評判に最も大きな影響を与える要因は、顧客サービスの不備、環境災害、そしてサイバー侵害の3つです。
サイバー侵害が企業の評判に及ぼす影響は新たな傾向であり、顧客の認識に大きな変化が生じていることを示しています。機密性を持つ可能性のある情報を暴露するリスクは、あらゆる商業組織にとって重大性を高めます。たとえばメディア企業は情報源を守る必要があり、それを明かせば深刻な結果を招くおそれがあります。
しかし、投資家がサイバー侵害の企業への影響をより詳しく検討したいと考える理由は、ほかにもあります。結局のところ、「すべてのリーダーはデジタルリーダーであり、すべての企業はIT企業である」のです。したがって、デジタル化した世界では、どの企業も侵害を受ける可能性があります。また、こうした侵害に伴う間接コストは莫大になり得ます。第三者に対する賠償責任、クラウド化やモバイル機能の導入の遅延、データ損失に関連するコストです。
Home Depotは、最近の侵害を受けた調査と被害軽減の費用として最大6,200万ドルに上るコストに直面していると報告しています。 同社が受け取ることを期待している約2,700万ドルの保険金で、これらの費用はいくらか相殺されます。
最近のデータによると、 セキュリティ侵害の平均コストは550万ドルに達する可能性があります。年換算の平均コストは1,156万ドルに上り、 侵害によるコストの純増額は26％に達しました 。これは昨年だけの数字です。
これらの数値は推計です。企業のトップ幹部やITリスク管理者は、自社への直接的なコストを測定するため、さまざまなツールや手法を試してきました。しかし、関連データの不足と資産の複雑さにより、サイバー侵害のコストを包括的に測定することは困難です。保険、IT、金融サービス、コンサルティング各業界の幹部は、バリュー・アット・リスクを含む、 サイバー脅威を定量化する複数のモデルを検討しています。
これまで、企業がサイバーセキュリティにどれだけ支出し、その見返りに何を得ているかについて、包括的な推計はありません。実際、米国国土安全保障省の当局者は、多くの企業が社内および顧客の機密データを盗まれたことに気づかないままであると認めています。
侵害が多くの場合、株価に反映されるという事実は、侵害の価格付けに関して、業界が決定打を見つけるにはまだほど遠いことも意味します。仮説上の原因から離れ、観測可能な損失を測定し、データ侵害が無形資産や第三者への賠償責任に及ぼす影響を評価・測定する動きが強まっています。
著者：Elena Kvochkoは、世界経済フォーラムの情報技術産業部門のマネージャーです。Rajiv Pantは、The New York Timesの最高技術責任者であり、世界経済フォーラムのヤング・グローバル・リーダーです。
画像：ワルシャワでコンピューターのキーボードを打つ男性。REUTERS/Kacper Pempel