ビジネスにサイバーレジリエンスを取り入れる4つの方法

• サイバーセキュリティはあらゆる組織にとって大きな懸念事項であり、この脅威に効果的に対処するには連携が鍵となります。

• 世界経済フォーラム、PwC、全米取締役協会、インターネット・セキュリティ・アライアンスによるサイバーガバナンスに関する報告書は、取締役がサイバーリスクをどのように管理できるかを取り上げています。

• ここでは、企業が連携を通じてサイバーレジリエンスを実現する方法を探ります。

目標は一つ、チームも一つ。

効果的なサイバーセキュリティは、チームワークと、社内外の連携に対する揺るぎない取り組みを必要とする、共通の責任となっています。

今日、脅威アクターは、ますます巧妙化するサイバー攻撃で組織や業界全体を標的にしています。世界経済フォーラムの『グローバルリスク報告書2022』によると、サイバーセキュリティの不備は主要な脅威となっています。企業も同じ見方をしています。全米取締役協会（NACD）が実施した調査によると、取締役の70%がサイバーセキュリティを企業の戦略的リスクと捉えています。

サイバー犯罪の増加傾向に衰える兆しはありません。 実際、経営幹部の60% は、サイバー犯罪が今後も急増すると2022年に予測しています。特に回答者は、クラウドサービスへの攻撃、ランサムウェアの侵入、重要インフラの侵害が増えると見込んでいます。脅威アクターは、システムやネットワーク上でコードを遠隔実行できるLog4jの脆弱性など、危険性の高い新たなソフトウェアの脆弱性も悪用しています。また、地政学的な紛争によって重要インフラへのサイバー攻撃がさらに増える可能性への懸念も高まっています。

世界経済フォーラム、PwC、NACD、インターネット・セキュリティ・アライアンス（ISA）が発表した報告書では、取締役によるサイバーリスクのガバナンスを支援する6つの原則を示しました。

• サイバーセキュリティは戦略的なビジネス推進要因である

• サイバーリスクの経済的要因と影響を理解する

• サイバーリスク管理をビジネスニーズに適合させる

• 組織設計がサイバーセキュリティを支えるようにする

• 取締役会のガバナンスにサイバーセキュリティの専門知識を取り入れる

• システム全体のレジリエンスと連携を促進する

この記事では、6つ目の原則である「システム全体のレジリエンスと連携を促進する」を掘り下げます。システム上のリスクには、システム全体のレジリエンスが必要です。そのためには、集団で取り組むという断固たる決意と、一人ひとりの高いレジリエンスが求められます。

朗報があります。組織のレジリエンス構築に着手するために取り入れられる「効果的な手立て」があります。

サイバーセキュリティのチームプレーヤーになる

効果的なサイバーセキュリティは経営トップから始まります。CEO、取締役会、その他の上級幹部は、社内や業界内、官民の関係者との連携を促すサイバーセキュリティ文化を率先して築くべきです。

セキュリティ文化を築くには、取締役会、経営幹部、最高情報セキュリティ責任者（CISO）、事業部門のリーダー、従業員一人ひとりなど、全員の参加が必要です。サプライチェーン、請負業者、その他の第三者とも連携する必要があります。

今日のサイバー脅威は複雑で巧妙に隠れているため、取締役会にはサイバーセキュリティに関する研修が必要となるでしょう。CISOは、上級幹部が脅威やビジネスへの潜在的な影響、会社の安全を守るうえで各幹部が担える具体的な役割を理解できるよう、支援する必要があるかもしれません。

ただし、意識向上は経営幹部だけにとどまりません。サイバーセキュリティ教育は全従業員に広げ、研修、スキル向上、キャリアアップの機会を含めるべきです。

サイバー関連の情報開示を義務付ける新たな規制により、取締役会への教育が急務となっています。例えば米国では、証券取引委員会（SEC）が、重要なサイバーインシデントやサイバーガバナンス、戦略、リスク管理の取り組みを開示するための規則案を提示しました。

この規則により、上場企業は、取締役会によるサイバーセキュリティリスクの監督や、（もしあれば）サイバーセキュリティの専門知識について、詳細を開示するよう求められる可能性があります。開示事項には、取締役会がサイバーセキュリティリスクについて報告を受けるプロセスや、このテーマについて議論する頻度が含まれます。また、新法は、重要インフラの事業者に対し、重大なサイバー侵害をサイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）に報告するよう義務付けています。

実践するには

• 取締役会または小委員会の会議で、セキュリティについて議論する時間を増やす

• 取締役会メンバーに研修を行い、サイバーセキュリティへの理解を深めてもらう

• サイバー脅威について議論する際は、ビジネス用語を使う

• 効果的な連携のための計画を立てる

• サイバーセキュリティの業績指標が、CISOだけでなくすべての経営幹部に適用されていることを確認する

机上演習を実施し、ビジネスインパクト分析（BIA）を更新する

従業員へのセキュリティ研修は不可欠です。しかし、レジリエンスにはそれ以上の取り組みが必要です。

脅威への対応や意思決定のプロセスを示すために攻撃をシミュレーションする机上演習は、サイバー危機に必要な意思決定を取締役会メンバーが実践する有効な方法となります。机上演習によって、実際の脅威が検知されたときに、ビジネスリーダーは自信を持って迅速に適切な行動を取れるようになります。また、現在の対応計画にある不足や弱点を明らかにできます。

同様に、ビジネスインパクト分析（BIA）は、インシデント対応や事業継続に向けた、より的を絞った効果的な戦略の策定に役立ちます。BIAでは、事業システム、プロセス、相互依存関係に優先順位を付け、事業にとって最も重要な課題に防御、対応、復旧の戦略を集中させます。

実践するには

• 重大な事業上の変化があった場合、または年に一度、会社のBIAを見直して更新する

• BIAをサイバーレジリエンス計画に反映する

• さまざまな脅威シナリオを用い、組織内の異なる階層（技術部門、事業部門、経営幹部、取締役会）で年間を通じて机上演習を実施する

• 机上演習によっては、社外弁護士や法執行機関など重要な第三者の参加を検討する

情報共有グループ、法執行機関、政府機関との関係を築く

サイバー犯罪者が攻撃手法やツールに関する情報を共有しているのなら（実際に共有しています）、なぜ私たちは共有しないのでしょうか。サイバー脅威や対応に関する情報共有は、サイバー犯罪者の先を行くうえで欠かせない場合があります。強力なハッカーによる攻撃から、企業が単独で身を守ることはできません。

例えば、重要インフラの事業者が地政学的な脅威や国家主体の脅威に対抗するには、政府、サイバーセキュリティ団体、同業者、組織間の積極的な協力と連携が必要です。

サイバー関連情報を共有する取り組みは、世界中で広がっています。現在、世界の組織の84%が官民の情報共有に参加していると回答しています。こうした文化を推進する組織には、世界経済フォーラムのサイバーセキュリティセンター、インターポール、米国のCISA、英国の国家サイバーセキュリティセンター、そして1,500を超える政府機関や組織が世界規模で連携するオープンデータセンターがあります。

情報共有を促進するため、地域、国内、国際レベルの政府機関や法執行機関と強固な関係を築くべきです。さらに企業は、情報共有・分析センター（ISAC）などの非営利サイバーセキュリティ団体とつながりを築くこともできます。一部のISACは、24時間365日の脅威警告、インシデント報告機能、ネットワーキングの機会を提供しています。

情報共有には信頼が必要です。組織は、業界の同業者や政府機関にインシデントや対応を開示することに、しばしば消極的です。サイバーセキュリティに関する共通認識を築くには、意識を変える必要があります。官民連携は一般的になっており、組織の45%が参加していますが、侵害に関する情報を明かすことには消極的な場合が少なくありません。その考え方を変える必要があります。

実践するには

• 政府機関を含むあらゆる利用可能なリソースを活用し、潜在的な脅威を特定する

• 欧州連合ネットワーク・情報セキュリティ機関（ENISA）、情報システムセキュリティ協会（ISSA International）、クラウド・セキュリティ・アライアンス、インターネット・セキュリティ・アライアンス、サイバーセキュリティ分野の女性団体WiCySなど、連携グループに参加する

• 情報セキュリティ・フォーラム、アンチフィッシング・ワーキンググループ、ISACなどの情報共有グループに参加する

• 重要インフラの事業者は、欧州重要インフラ保護プログラム、重要インフラ保護タスクフォース、米国国土安全保障省のサイバー情報共有・連携プログラム（CISCP）などの組織に参加できる

• 侵害が発生する前に、法執行機関や政府機関との関係を積極的に築く

サイバーセキュリティに集団で取り組む

今日の超高度につながったデジタル世界では、サイバーセキュリティはもはや単独の組織や一人の幹部だけの責任ではありません。

サイバーセキュリティは究極のチームスポーツです。企業、業界、政府が団結し、世界規模で活動する脅威アクターから守ることが不可欠です。