サイバー犯罪により、2025年までに政府と組織が被る損失は10兆ドルに達すると予想されています。
新たなサイバー脅威が出現する中、取締役会は、組織のサイバーレジリエンスを高めるために、サイバーリスク計画を策定しなければなりません。
サイバーリスク戦略は、明確で分かりやすい言葉を用いて、財務分析と整合させるべきです。
米国の実業家ヘンリー・フォード2世はかつて、「私たちにできる最善のことは、チャンスを見極め、関わるリスクを計算し、それらに対処する能力を見積もり、自信を持って計画を立てることだ」と述べました。フォードや米国産業革命の他の人々が直面したリスクは、今日の現代のデジタルビジネス環境のリスクとは大きく異なりますが、リスクの不確実性と、それをどのように最適に管理するかは、ビジネスの成功において依然として重要な優位性となっています。
2020年の取締役会調査において、Gartner, Inc.は、取締役が、規制順守リスクに次いで、サイバーセキュリティを自社事業にとって2番目に大きな脅威と見なしていることを明らかにしました。サイバー犯罪は既に2021年の時点で世界に少なくとも6兆ドルの損害を与えており、2025年までに年間10兆ドルを超える損害につながる可能性があります。米連邦準備制度理事会（FRB）議長のジェローム・パウエル氏は最近、「今、最も注視し続けているリスクはサイバーリスクである」と強調しました。
サイバー犯罪は、今後も世界経済を混乱させ、不確実性をもたらし続けるでしょう。こうした脅威を抑制するため、取締役会は、財務上のエクスポージャーを管理し、事業への影響を緩和するための効果的な戦略を実施しなければなりません。組織が策定するデジタルトランスフォーメーション戦略は、今日のサイバーセキュリティの脅威に歩調を合わせ、深刻な混乱から先回りして守るものでなければなりません。
サイバーレジリエンスへの道筋
サイバー脅威が激化し変化する中、企業はサイバーセキュリティ予算を強化しています。こうした多額の投資に対して適正な見返りを得るためには、サイバー犯罪に対抗する明確で効果的な戦略を整えることが重要です。取締役会におけるサイバー犯罪に関する議論を明確にすることが第一歩です。効果的なコミュニケーションは、ビジネスにおける良好な成果の礎石です。サイバーリスクの複雑な問題について共通言語を確立することは、サイバーリスクに対するレジリエンスを実現するうえで不可欠です。これには、微妙なセキュリティ用語を多く含む分かりにくく技術的な議論を、精緻な経済分析へと簡素化することが求められます。経済分析により、サイバー攻撃が短期および長期にわたって組織の財務をどのように脅かすかが示されます。
組織内のサイバーレジリエンスを構築するには、経済分析に基づく明確な計画に則り、取締役会による適切な監督が必要です。保険などの業界は、確立され理解しやすい財務エクスポージャー分析に基づいて、引受基準におけるサイバーリスク評価を行っています。こうして保険業界の関係者は、サイバーに関する議論を、技術的に曖昧で難解なセキュリティの議論から、企業が身近なビジネス用語で自社の財務エクスポージャーを理解し、効果的に管理できる議論へと移行させつつあります。サイバー脅威による財務エクスポージャーが明確であれば、取締役会はサイバーセキュリティ戦略を経済的なサイバーリスク指標と整合させやすくなるでしょう。
サイバーレジリエンス計画を策定する際、取締役会は経営陣に次のような質問を投げかけるとよいでしょう。
「サイバー脅威に対する当社の財務エクスポージャーはどの程度か？」
「当社の事業に大きな財務的影響を及ぼす可能性が最も高いサイバー脅威は何か？」
「当社の企業全体およびデジタルサプライヤーのエコシステム全体で、どの程度の財務エクスポージャーを受け入れる用意があるか？」
「サイバーリスクのエクスポージャーに対処するため、予算を整合させ、統制を実施し、リスク移転を最適化するにはどうすればよいか？」
「当社のデジタル施策は、サイバーレジリエンスを備えた方法で開発されているか？」
組織の固有のリスクプロファイルに基づき、サイバーリスク選好度の水準を財務的な観点から策定し、財務エクスポージャーを低減するための効果的な是正措置および緩和策を定めることは、サイバーレジリエンスを計画する際の重要な初期段階です。取締役会は、経営陣との議論において、サイバーレジリエンスの議題の中で特定の事項を継続して検討すべきです。継続的に、取締役会は、経営陣が投資収益率分析をどのように活用して、サイバーセキュリティ予算を財務エクスポージャーの低減に整合させているかを把握しておくべきです。同様に、取締役会は、サイバーセキュリティ戦略を実際に実施するために取られる措置を監督すべきです。
サイバーリスク監督に対する財務的アプローチの成否は、人材の経験や、組織のサイバーセキュリティの成熟度によって異なることを忘れてはなりません。とはいえ、このように経営陣と協力して取り組むことは、組織がサイバー脅威の財務的影響に対処するための効果的な方法となり得ます。
変化する規制環境
2018年、米国証券取引委員会は、ガイダンスを発表し、上場企業のサイバーセキュリティに関する開示について、企業がサイバーリスクおよびインシデントに関連する開示を準備する際の支援を行いました。このガイダンスは、サイバー事象の発生確率やサイバーインシデントの潜在的な規模を含む、推奨される開示分野をいくつか示しています。また、企業の事業および業務のどの側面に重大なサイバーリスクがあるか、これらのリスクがもたらす潜在的なコストと影響にも注目しています。同様に、サイバーリスクおよびそれに関連するコスト（特定のサイバーリスクを防止または緩和する企業の能力を含む）を低減するために講じられた予防措置の妥当性についても、明確化を求めています。
既存の規制と新たに登場する政策は、上場企業にサイバーの課題への正面からの対応を迫っています。増大し続ける体系的なサイバーリスクのエクスポージャーにより、乗り越えるべき法規制上の関門も増え続けています。効果的なサイバーセキュリティプログラムにより、企業は先手を打ち、現行法規に沿った対応を取ることが可能になります。財務エクスポージャー分析に基づくサイバーレジリエンス計画は、規制要件に沿った信頼性の高い企業開示の基盤を築くことになるでしょう。
米国証券取引委員会（SEC）は現在、サイバーセキュリティリスクガバナンスに関する提案を策定しており、インシデント報告およびサイバー衛生の管理を一層厳格化しようとしています。SECによるより強力な執行措置は、組織がサイバーリスクのエクスポージャーを管理・最小化するための方針および手続きを策定することを促すでしょう。組織は、新興のサイバーセキュリティ技術に沿って、社内ガイドラインを作成し、先回りして防御体制を構築する動機付けを受けることになるでしょう。
