サイバーレジリエンスの実現は複雑で、状況に応じて変化し、継続的な取り組みを要するプロセスであり、単一の行動やツールだけでは達成できません。
同業者と知見や教訓を共有することは、組織が効果的な実践や戦略を活用するうえで大きな助けとなります。
オックスフォード大学と共同で作成した世界経済フォーラムの新たな報告書は、サイバーセキュリティのレジリエンスを強化する最前線の実践を、「サイバーレジリエンス・コンパス」の7つのカテゴリーに体系化しています。
企業や政府が新たなテクノロジーやデータを活用してプロセスを進化させるにつれ、より高度で潤沢な資金を持つサイバー脅威から身を守るため、サイバーセキュリティへの依存度が高まっています。
こうしたリスクをすべて防ぐことは不可能です。そのため、サイバーレジリエンスの考え方を取り入れる組織が増えています。
サイバーレジリエンスとは、完全に安全なシステムは存在しないことを前提とする実践です。従来のアプローチと比べ、その目的はサイバーインシデントの防止だけでなく、組織の主要な目標や目的への影響を最小限に抑えることにあります。
重大なサイバーインシデントは発生するものと想定して組織を運営し、状況の変化に注意を払いながら、事態を受け止め、復旧し、そこから学べるような対策を講じることを促します。
成長の実現と持続を支援するサイバーレジリエンス・コンパス
組織がサイバーレジリエンスを理解できるよう、世界経済フォーラムはオックスフォード大学と連携し、サイバーレジリエンス・コンパスを発表しました。これは、リーダーや組織が最前線の実践を見いだし、経験を共有し、知見を交換して、サイバーレジリエンスを高めるためのダイナミックなリソースです。
サイバーセキュリティの最前線に立つビジネスリーダーとの協働を通じて開発されたこのコンパスは、実務で効果を発揮する方法について、コミュニティ主導の指針を共有します。
ただし、サイバーレジリエンスへの道のりは組織ごとに異なり、組織内部の状況や環境によって形作られます。
実際、サイバーレジリエンスを強化するために各組織が取る具体的な行動は、その状況によって異なり、事業、脅威の状況、基盤となるテクノロジーの進化に伴って、時間とともに変化します。
それでも、最近のホワイトペーパー「サイバーレジリエンス・コンパス：レジリエンスへの道のり」で示されているように、同業者の経験や知見を結集すれば、成功への道筋が見えてくることがあります。
戦略的レジリエンスを高めるためのツール
サイバーレジリエンス・コンパスは、サイバーセキュリティの専門家から集めた最前線の実践を、相互に関連する7つのカテゴリーに体系化しています。
1. リーダーシップ
リーダーシップとは、サイバーセキュリティに関する目標設定、意思決定、方向付けを指します。リスクオーナーと上級リーダーは協力してサイバーリスクを戦略的に評価し、事業の優先事項、リスク許容度、意思決定体制を明確に定めたうえで、組織横断的な協力と当事者意識の文化を築く必要があります。
2. ガバナンス、リスク、コンプライアンス
ガバナンス、リスク、コンプライアンスは、リスク管理とコンプライアンス要件への対応の仕組みに関わります。リスク軽減策に支えられたこれらの仕組みは、リスクプロファイルを定め、明確な指揮命令系統を確立し、実践を規制や法令の要件に沿わせることで、組織のレジリエンス強化に役立ちます。
3. 人材と文化
人材と文化には、人材の確保と定着に向けた戦略や実践に加え、従業員に必要なサイバー関連のスキルと意識を身につけさせ、その力を引き出す取り組みが含まれます。
包括的な戦略を導入してサイバー人材を採用・定着させるとともに、既存の職員のスキルを高めることで、専門人材の不足を緩和できます。
4. ビジネスプロセス
ビジネスプロセスとは、機能の優先順位付け、設計、導入、適応に関するアプローチを指します。重要な事業サービスを明確にし、最悪のインシデントシナリオに備えることで、組織はレジリエンスを社内体制に効果的に組み込むプロセスを設計できます。
さらに、優先事項の変化に対応できるようプロセスに柔軟性を持たせ、進化する業務環境やリスク状況においても適切に機能するよう、定期的に見直す必要があります。
5. 技術システム
技術システムとは、IT、運用技術、クラウド、サイバーセキュリティのツールや制御策の設計、導入、保守に関するアプローチを指します。
インシデントの防止や事業目標の達成に役立つよう、技術的な制御策やツールを継続的に保守する必要があります。また、リアルタイムデータや高度な分析を活用して新たな問題を特定し、効果的な技術的制御策やツールの適用に役立てるべきです。
6. 危機管理
危機管理とは、レジリエンスに影響するインシデントやその他の危機への対応と復旧に用いるすべての要素を指します。
明確な危機対応計画や意思決定手順の策定から、危機対応チームの編成や広報戦略の立案まで、優先度の高い事業運営を妨げるインシデントに備え、組織が危機対応の枠組みを定め、訓練し、見直すことが重要です。
7. エコシステムとの連携
エコシステムとの連携とは、サプライチェーン、顧客、競合他社、規制当局を含む、より広範なエコシステムに対する組織のアプローチを指します。組織ごとの対応姿勢は、その周囲にあるエコシステム全体のレジリエンスに大きく左右される場合があります。そのため、組織はより広範なレジリエンスを高めるために、自らに固有のエコシステムをどのように把握し、関係を築くかを検討する必要があります。
将来の課題に耐えられる組織づくり
テクノロジーとサイバーセキュリティへの依存がますます高まる世界において、サイバーレジリエンスは成功に不可欠な組織上の要件です。
100%のサイバーセキュリティは実現できませんが、サイバーレジリエンスのアプローチを取り入れることで、組織はインシデントの影響を最小限に抑え、重要な目標の達成を続けることができます。
サイバーレジリエンス・コンパス は、サイバーセキュリティの専門家の知見をもとに開発されました。サイバーレジリエンスに万能なアプローチはありませんが、最前線で得られた教訓を体系化し、組織が他者から学べるようにします。このコンパスは、サイバー分野のリーダーがレジリエンス戦略を強化するための参考となる、ダイナミックなツールを目指しています。
世界経済フォーラムは、世界のサイバーセキュリティ課題にどのように取り組んでいますか？
サイバーセキュリティセンターは、リーダーが集い、変化するサイバーリスクとそのシステム全体への影響を理解するための、信頼できるプラットフォームを提供しています。相互接続がますます進むデジタル世界において、理解と信頼の構築に取り組んでいます。
分野横断的な協力と知見の共有を促進することで、同センターはパートナーによるサイバーレジリエンスの強化と、集団的な対応を必要とする課題への取り組みを支援します。
