前例のない規模で指数関数的に拡大するグローバルなサイバー脅威の全体像を前に、大企業、中堅企業、中小企業を問わず、すべての企業に対して、組織のサイバーレジリエンスを構築するよう強く行動を呼びかける必要がある。
Verizonによれば、すべてのサイバー侵害の86%は金銭目的によるものである。世界経済フォーラムは、サイバー犯罪による損失額が今年は約2.2兆ドルに達すると推定しており、2025年までにおそらくほぼ5倍の10.5兆ドルに拡大する見込みだ。
企業が正しい対策をすべて講じていても、他の多くの業務上のリスクとは異なり、サイバーリスクは主に国境のない犯罪行為であり、逮捕・起訴されるのはわずか0.5%の犯罪者にすぎず、また国家レベル、すなわち地政学的な第一級の主体によるものも含まれるため、企業はまったく太刀打ちできず、依然として著しく不利な立場に置かれる。
企業のサイバー管理下にある数少ない事項の一つが、組織のサイバーレジリエンスの構築である。以下に、その実現に向けた8段階の計画を示す。
組織のサイバーレジリエンスの構築
レジリエンスを備えていても、サイバー上の成功が保証されるわけではない。しかし、それによって主要なステークホルダーに対し、企業が人材や資産を含む最重要資産を守るために最善を尽くしていること、そして回復力と持続可能性を兼ね備えた使命、目的、戦略を追求していることについて、より大きな信頼と安心感を与えることができる。
サイバーレジリエンスとは、悪質なサイバー事象が発生しても、組織が意図したビジネス成果を持続的に維持、構築し、提供する能力である。サイバーレジリエンスを達成し維持するための組織的な取り組みは、組織全体（サプライチェーンを含む）に合わせて包括的かつ適切に設計されなければならない。それには、組織のリスク、危機、事業継続、教育の各プログラムと効果的に統合された、正式かつ適切なリソースを備えた情報セキュリティプログラム、チーム、ガバナンスを含める必要がある。
これは組織レジリエンスというより広い文脈の中に位置づけられる。組織レジリエンスとは、困難な状況、混乱、リスク、危機に直面しても、許容できる水準の業務、サービス、パフォーマンスを提供し維持するとともに、評判への影響を含め、組織への影響を最小限に抑えながら、迅速に立ち直り回復する組織の能力である。
以下は、「好循環」型の組織レジリエンスのライフサイクルの理想形である（下に示す「悪循環」型とは対照的である）：
サイバーレジリエンスに当てはまる8つの要素を順に確認しよう：
1. 積極的に関与するサイバーガバナンスとリーダーシップ
経営陣はサイバー課題の深刻さを理解しており、トップからの姿勢の表明と必要な人材・予算を提供する用意がある。それにより、取締役会による監督、C-suiteの戦略、現場の機能・業務部門によるサイバー方針の調整が行われる、積極的に関与する三角形型のサイバーリスクガバナンスを構築する。
世界経済フォーラム、ISA、PwC、全米取締役協会（National Association of Corporate Directors）が共同で発行した本書では、以下のレジリエンス要素が強調されている：
2. 権限を与えられた、サイバーおよび情報衛生の文化
トップの姿勢が組織に吹き込む文化とは、情報衛生とサイバー衛生の文化を重視し、奨励し、強化するものであり、関係するすべての人が落とし穴やベストプラクティスについて定期的に研修を受ける。従業員は意見を述べることを恐れず、意見を述べた場合は無視されることがない。以下に、世界保健機関（WHO）最高情報セキュリティ責任者のFlavio Aggioによる優れた取り組みを挙げる：
• 「ITが100%のセキュリティを保証する」という考え方を変えるよう努める
• 毎月のフィッシング訓練により、利用者はサイバー攻撃をより速く、より的確に理解するようになる
• 頻繁に伝えるが、過剰にはしない
• 「自分にとってのメリットは何か」に重点を置く
• 外部組織と協力し、情報を共有する
• 人間中心のテクノロジーに注力する
3. サイバーステークホルダーの感情知能
各企業は、サイバー上の最重要資産（サイバー攻撃者が関心を持ちうるデジタルまたは物理的な資産）がどこにあるかを把握し、それらの優先順位付けと保護の方法を理解するとともに、主要なステークホルダー（所有者・株主、顧客、従業員、その他）がどのような悪影響を受けうるかを理解する必要がある。組織のサイバーレジリエンスのこの要素の重要な部分は、特にサイバー攻撃による被害が最も大きい脆弱な分野（医療、公益事業、金融）において、ステークホルダーと緊密な関係を築き、情報を共有するために働きかけることである。
4. サイバーリスクインテリジェンス
サイバーリスク管理が企業のリスク管理システムの一体的な一部となること、すなわち全社的リスク管理に完全に統合され、サイバー保険などのリスク軽減および移転の機会と結びつくことが極めて重要である。堅牢なサイバーリスク管理プログラムの一部として、社内（社外の専門家へのアクセスを含む）に、学際的、部門横断的、複数部門にまたがる適切な専門家グループを置くことが求められる。
5. サイバーのESGTへの戦略的統合
サイバーリスクの検討を事業戦略に組み込まない企業は、サイバーセキュリティを確保することも、備えることもできない。これは明白である。イノベーション段階、製品・サービスの研究開発連鎖、サプライチェーン、M&A、人材獲得戦略（従業員、契約者、下請業者など）、あるいは単純なソフトウェア更新手順など、弱点となりうる箇所が多すぎる。企業があらゆる側面で警戒を怠れば、サイバー上の潜在的な損害や機会の喪失にさらされることになる。
6. 業績指標とインセンティブ制度（サイバー指標を含む）
測定できないものに報いることはできない。サイバーレジリエンスについても同様である。どのように測定するのか。適切な人材が、適切なリソース、予算、報告体制のもとで適切なことを行っているか。これらすべてが、専門職および経営幹部の報酬指標に結びつけられ、取締役会に適切に報告されているか。
7. 危機への備え（サイバー対応を含む）
企業は、特に現在の激動の時代において、サイバー分野を含む大規模な危機に対処するため、常に即応可能な危機管理チームと計画を持たなければならない。これは、適切な人材、リソース、ツールがすぐに利用できる状態にあること、そして高度な専門性を持つ学際的チーム、経営陣、取締役会による適切なシナリオ計画が定期的に実施されていることを意味する。これらすべてが事業継続およびデータ管理と一体的に統合されている必要がある。
8. サイバーイノベーションの精神
企業が製品・サービスのイノベーションに与えるのと同じアプローチを、サイバーセキュリティおよびリスク管理のイノベーションにも適用すべきである。これは、型にとらわれず発想し行動すること、ならびに、自社のインシデントおよび業界・セクターで発生しうるインシデントの両方から得られた教訓を統合することを意味する。セクター内の情報共有グループや官民連携に参加することを意味する。徹底的な分析や根本原因分析を行い、重要な教訓を取り入れることを意味する。サイバーセキュリティの精神は、継続的な改善と刷新でなければならないことを意味する。
世界経済フォーラムはサイバーセキュリティに関して何を行っているか
サイバーセキュリティセンターは、リーダーたちが集まり、進化するサイバーリスクとその体系的な影響を理解するための信頼できるプラットフォームを提供している。デジタル化が進み相互接続が深まる世界において、理解と信頼の構築に重点を置いている。
セクター横断的な協業と知見の共有を可能にすることで、センターはパートナーがサイバーレジリエンスを強化し、集団的な対応を必要とする課題に取り組むことを支援している。
サイバー攻撃の急速に変化し、爆発的に拡大する世界に絶対的な保証はないが、企業には少なくともレジリエンスを構築する責任があり、これら8つのステップはそのための大きな助けとなるだろう。
• Andrea Bonime-Blancは『Gloom to Boom: How Leaders Transform Risk into Resilience and Value』の著者である。本稿は、スペインのActuarios Magazine 2021年春号に掲載された、より長い特集記事に基づいている。
