ロシアによるウクライナ侵攻により、企業やNGO、大学などの組織に対するサイバー攻撃のリスクが高まっています。
効果的なサイバー・レジリエンス戦略を構築するには、ガバナンス、文化、リスク、危機管理に関わる、相互に重なり合う4つの重要な内部サイバーシステムを整備することが重要です。
サイバーリスク・ガバナンスに体系的に取り組み、サイバー衛生、サイバーリスク管理、サイバー危機管理の文化を備えた組織は、体系的なサイバーへの備えとレジリエンスを実現できます。
重要なサイバー要素や偽情報の要素を伴い、ロシアによるウクライナ侵攻が長期化する中、企業やNGO、大学などの組織は、強固なサイバー・レジリエンス戦略を構築するために、相互に重なり合う4つの重要な内部サイバーシステムを整備しなければなりません。これらはガバナンス、文化、リスク、危機管理に関わるものです。
下図は、本稿の主旨を要約したものです。すなわち、サイバーリスク・ガバナンスに体系的に取り組み、サイバー衛生の文化を育み、サイバーリスク管理とサイバー危機管理の戦略を備えた企業は、体系的なサイバーへの備えとレジリエンスを実現できます。激動の時代を生き抜き、成長するために不可欠です。
もはや、最善を願うだけでは不十分です。技術的ソリューションをいくつか「導入」すればよいと考えたり、サイバーセキュリティを「一度やれば終わり」の仕事、任意の取り組み、あるいは他部門と切り離された取り組みと見なしたりすることもできません。サイバーセキュリティは、複数のシステムにまたがって継続的に取り組むべき課題であり、リスクと危機が絶えない世界情勢によって、今その重要性はさらに増しています。気候、地政学、戦争、感染症、人道危機、そしてサイバー攻撃や偽情報など、世界のさまざまな方面から脅威にさらされています。
サイバーセキュリティに関して、世界経済フォーラムはどのような取り組みを行っていますか？
サイバーセキュリティ・センターは、リーダーが集い、変化するサイバーリスクとそのシステミックな影響を理解するための、信頼できるプラットフォームを提供しています。相互接続がますます進むデジタル世界において、理解と信頼の構築に重点を置いています。
分野横断的な協力と知見の共有を促すことで、同センターはパートナーによるサイバー・レジリエンスの強化と、集団的な対応が必要な課題への取り組みを支援します。
状況を把握するには、企業や組織が自らの置かれた状況と、予測可能・不可能な形で影響を及ぼし、サイバーリスクにさらす5つのメガトレンドを理解することが重要です。これらのトレンドは、より詳しくはESGTメガトレンド・マニュアル 2022-2023で取り上げられており、次のとおりです。
1. 地政学上の地殻変動が加速
2. 気候と戦争が複雑なリスクを増大
3. 技術的ディスラプションが多次元化
4. ステークホルダー資本主義とESGが融合
5. リーダーシップと制度への信頼が再調整
こうしたメガトレンドの影響が、企業、社会、政府などあらゆる組織に重くのしかかる中、サイバー・レジリエンス戦略を体系的に組み込んだ、より高度な状況認識が組織の最優先課題でなければなりません。まず、現状を確認しましょう。
サイバー・レジリエンスをめぐる地政学的状況
2022年2月のプーチン大統領によるウクライナ侵攻以降、地政学上の大きな地殻変動がいくつも加速しました。中でも、世界の民主主義諸国がサイバーセキュリティ協力を強化し、政府間だけでなく、官民の実務協力においても連携を深めたこと、そしてNATOやEUなどが全体として結束を強めたことが挙げられます。
NotPetyaやコロニアル・パイプライン事件のような大規模なサイバー攻撃が起きていないという事実は、しかし、企業のリーダーを油断させる危険があります。戦争に関連するサイバー攻撃は西側諸国が「制御している」ため起きない、あるいはロシア側は気を取られているか、影響の大きい攻撃を実行する能力がない、と思い込ませかねません。
どちらも事実ではありません。実際、複数のサイバー攻撃トラッカーがそれを示しています。たとえば、こちらは外交問題評議会によるもので、こちらはサイバー・ピース・インスティテュートによるものです。
さらに、サイバーと組織のレジリエンスを継続的に高める戦略の一環として、企業がいくつかの重要なサイバーシステムを導入する必要性を示す重要な動きがありました。具体的には次のとおりです。
サイバー戦争は、情報戦や偽情報戦を含む、より広い概念として捉えるべきです。
ロシア国内で事業を展開する企業やロシアと取引する企業は、ウクライナ側につき、ロシアに対抗するハクティビストや匿名のサイバー活動家の増加に伴い、引き続き主要な標的となるでしょう。
企業は、ロシアの公式・非公式の同盟者（中国、北朝鮮、ハッカー集団など）にも警戒すべきです。こうした勢力が、ウクライナを支援する民主主義諸国や多国間同盟の緩やかな連合に対抗し、この構図でロシア側を支援するために機会を利用する可能性があります。
ウクライナ、ベラルーシ、ロシア以外の企業は、ウクライナ戦争に関連する大規模なサイバー障害をまだ経験していないかもしれません。しかし、どこにある企業も、エネルギー、運輸、金融の各分野で、政府や企業に不可欠なサービスが中断する事態に備えるべきです。
ロシアに対する経済制裁は、予測可能な形でも予測困難な形でも、根底にあるサイバー戦争に影響を及ぼす可能性があります。そのため、制裁の実施の最前線に立つ企業は、とりわけ脆弱です。
企業に求められる4つのサイバーシステム
リスクと危機が絶えない環境に直面する中、下図に示す「レジリエンスの好循環ライフサイクル・モデル」の8つの要素を活用し、企業が組織全体のレジリエンスを構築することが不可欠です。
サイバーと組織のレジリエンスに関する私たちの取り組みおよび世界経済フォーラム、NACD、インターネット・セキュリティ・アライアンスの取り組みを踏まえ、組織全体のレジリエンス構築に必要な4つのサイバーシステムを図示し、以下で説明します。これを理解して実践する企業は、組織のサイバー・レジリエンスを高め、世界的な嵐を乗り切り、さらにはその中で成長する最良の機会を得られます。
1. 体系的なサイバーリスク・ガバナンス
体系的なサイバーリスク・ガバナンスは、取締役会の中核的な役割でなければなりません。この環境では、サイバーセキュリティを取締役会と経営幹部の議題に含め、少なくとも四半期ごとに報告することが必須です。下図は、取締役会がサイバーリスク・ガバナンスを主導し、戦略については経営幹部と、実施については現場のサイバー管理担当者と常に連携しなければならないことを示しています。
2. 体系的なサイバー衛生文化
これは、組織全体にあまねく浸透させるべき2つ目の要素です。まず、従業員向けのサイバー衛生教育に体系的かつ適切に取り組む必要があります。組織全体にわたるこの文化の重要な要素として、あらゆるレベルで連携した情報セキュリティ対策を実現するため、ネットワークとクラウドの両方を対象に、連携を考慮して意図的に設計された、一貫性のあるITシステムを整備することが挙げられます。こうしたシステムは、予防、検知、監査にも対応する必要があります。
3. 体系的なサイバーリスク管理
多くの専門家が指摘するように、サイバーリスクはビジネスリスクであり、全社的リスク管理（ERM）システムの一部でなければなりません。下図をご覧ください。これこそが、ERMに組み込まれる有用で一貫性のあるサイバー指標と、経営幹部や取締役会に提出するサイバー特有のダッシュボードや報告書を作成する唯一の方法です。規制当局など社外のステークホルダーも、こうした指標をますます求めるようになっています。
4. 体系的なサイバー危機管理
これは、 組織の危機管理チームや計画、事業継続の戦略と戦術、データ保護やバックアップに関する検討事項を策定、発展、改訂、実施する際に、サイバーリスクにさらされる可能性の細部や複雑な要素まで考慮することを意味します。下図は、サイバーリスクや危機（重大な影響や重要性を伴うその他の事象と同様）に対して、社内外の専門家から成る部門横断チームが、危機の発生前、発生中、発生後に緊密に連携する必要があることを示しています。
世界が直面する最大のリスクについては、こちらもご覧ください。2023年版グローバルリスク報告書。
