企業のサイバーセキュリティに対する経営者の信頼は低下している一方で、デジタルシステムへの依存度は高まっている。
取締役会は、企業が回復力を持っているかどうかを問うのではなく、「十分な回復力」があるとみなされるためにどのような対策が講じられているかを問うべきである。
サイバーレジリエンスへの投資効果を最大限に引き出すためには、企業は取締役会レベルで、リスクに見合う価値とレジリエンスによる投資収益率について議論する必要がある。
世界経済フォーラムが発表した サイバーレジリエンス指数 （CRI）は2022年に、ビジネスリーダーに対し、難しい問いに対する共通言語を提供しました。それは、「あなたの組織は、サイバー攻撃による混乱に耐え、そこから回復する準備がどの程度整っているか？」という問いです。
3年後、フォーラムは 世界のサイバーセキュリティ展望2025 小規模組織の35%が依然としてサイバーレジリエンスが不十分であると考えていることが明らかになった（2022年以降7倍の増加）。一方、大規模組織の54%はサプライチェーンの複雑さをレジリエンスに対する最大の障壁として挙げている。さらに、AIを標的とした攻撃の時代において、 Rubrik Zero Labsの研究 調査の結果、ITおよびセキュリティ責任者の86%が、今後1年以内にAIエージェントの普及が自社のセキュリティ対策を上回ると予測していることが判明した。
この新たな時代において、デジタルシステムへの依存度が高まる一方で、サイバーレジリエンスに対する信頼は低下している。
実際、CRIの調査によると、経営幹部の92%がサイバーレジリエンスが企業リスク管理に組み込まれていると考えている一方で、サイバーセキュリティ責任者のうち、自社の組織が真にレジリエントであると確信しているのはわずか19%に過ぎない。経営陣の保証と実際の運用状況との間のこのギャップを埋めなければ、組織はよりサイバーレジリエントになることはできない。
最も先進的な取締役会は、自社が回復力を持っているかどうかを問うのをやめ、「十分な回復力」があるとみなされるためにどのような対策が講じられているかを問うようになった。これは、組織がどの程度の財務的影響に耐えられるか、サイバーレジリエンスへの投資が予防、保護、復旧の間でどのようにバランスが取れているか、そしてその投資効果をどのように測定するかを把握することに等しい。
サイバーレジリエンスは記述されるものであり、定量化されるものではない。
多くの企業は、サイバーレジリエンスに関して一貫したパターンに従っている。復旧計画は存在し、復旧テストも実施されるが、破壊的な攻撃が発生した際に実際に重要となる、不利な状況や紛争状況下でのテストは必ずしも行われていない。
組織は復旧時間目標や復旧ポイント目標を提示することはできても、クリーンで信頼できる状態からの復旧の証拠を示すことに苦労することが多い。バックアップは広く普及しているが、不変性や隔離された「クリーンルーム」リカバリは依然として一貫性に欠ける。組織はバックアップが標的とされて停止されるシナリオを想定した計画を立てることはほとんどない。最重要システムは、敵対的な視点からマッピングされていない可能性がある。組織内で責任が分散し、回復力はIT部門が所有する技術的な制御として扱われ、経営陣が所有する戦略的な能力として認識されていない可能性がある。
サイバーレジリエンスの成熟度も同様にばらつきがある。ほとんどの組織は攻撃の防止と検知に多額の投資を行っているが、攻撃を受けても業務を継続し、その後復旧する能力への投資は比較的少ない。こうした能力こそが、情報漏洩がビジネス上の危機に発展するかどうかを左右するのだ。
この不均衡にはコストがかかる。以前は企業は情報漏洩から損害発生まで60日間あったが、今ではわずか27秒にまで短縮されている。 Rubrikの脅威調査そのため、攻撃が始まると、組織には対応する時間がほとんど残されていない。
そしてこの猶予期間が短くなるにつれて、事業中断のコストは上昇し続けている。IBMの 2025年におけるデータ侵害のコスト 報告書によると、データ侵害による世界平均コスト444万ドルのうち、事業損失が依然として最大の要因の一つとなっている。だからこそ、サイバーレジリエンスと迅速な復旧は、ビジネス上の必須事項となるべきなのだ。
適切なリスクを測定する
しかし、この再定義は、適切な種類のリスクを測定することに依存している。米国国立標準技術研究所の 企業リスク管理のためのサイバーセキュリティリスクの特定と評価 この出版物により、組織はサイバーリスクを企業レベルで（発生可能性、影響、予想損失など）体系的に表現できるようになり、取締役会が管理する他のあらゆるリスクと並べて扱うことができるようになる。
しかし、レジリエンスリスクは、従来のサイバーリスクとは異なる方法で測定する必要があります。従来のプログラムは事象が発生する可能性に焦点を当てていますが、レジリエンスの目標は3つの異なる要素を活用します。
第一に、影響の大きさを軽減することを目指します（抑制、継続、再構築）。第二に、発生確率についての理解を深めます（理解、予防）。そして第三に、既存の弱点を踏まえて、事象が被害に発展する可能性を算出するのに役立ちます（理解、準備、抑制、変革、再構築）。
予防策は被害を受ける確率を下げ、従来の復旧メカニズムは定期的な障害によるコストを削減し、レジリエンスは大規模な障害によるコストを削減します。予防策と従来の復旧指標のみを測定して提示することは、取締役会にとって盲点となります。なぜなら、レジリエンスがなければ、共有テクノロジーサービスやそれに依存する重要なビジネスプロセス全体にドミノ効果が及ぶ可能性があるからです。
サイバーレジリエンス：影響から価値へ
ここで能力成熟度とビジネス価値が結びつく必要があります。サイバーコミュニティが支持する サイバーレジリエンス能力成熟度モデル （CR-CMM）は、脅威情報に基づく防御、危機管理、サイバー復旧など、10の能力にわたるレジリエンスについて説明しています。
その価値はスコアそのものではなく、それが生み出す実績にある。それぞれの機能とその成熟度は、企業が既に理解している具体的な価値創造要因と結びつけることができる。例えば、復旧成熟度の向上によって復旧時間が半減すれば、予想損失を数百万ドル削減できる可能性がある。
こうした回復力強化策を導入することで、以下のような形でビジネス価値が生まれます。
バックアップおよびリカバリツールの統合によるコスト削減
単一の組織横断型レジリエンスプラットフォームに対する可視性の向上
データ損失やダウンタイムによる収益への影響の可能性を低減
手作業を減らすことで、業務効率が向上する。
これにより、「どの程度のレジリエンスがあれば十分なのか？」という問いは、投資に関する問いへと変わります。組織は、吸収しきれない金銭的損失をモデル化し、それを最も効果的に軽減できる能力を特定し、予防、保護、復旧の各対策に支出を集中させ、最大の効果が得られるようにする必要があります。こうして、サイバーレジリエンスは、単なる信念に基づく予算獲得競争から、定量化されたリスク軽減に基づく競争へと移行するのです。
サイバーレジリエンスの測定
所有権がなければ、これらはどれも成り立ちません。サイバーレジリエンスを実現するには、サイバーレジリエンス責任者のような単一の責任者、あるいは事業、継続性、リスク、テクノロジー、サイバーセキュリティを網羅し、目標設定、投資配分、取締役会への報告といった権限を持つ正式な組織が必要です。
サイバーレジリエンスは、他の戦略的能力と同様に運用されなければならない。成熟度基準値に基づいて評価され、現実的な条件下で訓練され、財務的に評価され、継続的に改善されなければならない。
統合されたレジリエンス・アーキテクチャがないまま四半期が経過するごとに、復旧作業の複雑さとコストは増大します。今日、サイバーレジリエンスに投資する組織は、制御に関する技術的な議論から、リスク価値とレジリエンスへの投資対効果に関する役員レベルの議論へと移行しています。影響を説明する段階から価値を定量化する段階へと移行することで、サイバーレジリエンスに費やされるすべての費用は、それが防ぐ損失によって正当化されるようになります。
