デジタル経済で市場をリードする存在となる組織では、リーダーがサイバーレジリエンスを優先し、その文化を育んでいる。
組織間のエコシステム全体にわたる連携が、このレジリエンスの構築に不可欠となる。
そのためには、サイバーリスクや課題に関する組織の経験を共有する意欲が必要だ。
私たちが依存するデジタルエコシステムでは、組織間の信頼が不適切な水準にとどまっていることがあまりにも多い。この状況は、損失を避けようとする組織の姿勢、非難されることへの恐れ、脆弱な信頼感、そしてサイバーレジリエンスの欠如から生じている。
世界経済フォーラムの『グローバル・サイバーセキュリティ・アウトルック2022』レポートは、アクセンチュアとの協力のもと作成され、次のことを明らかにした。
サイバー分野のリーダーのうち、自組織にサイバーレジリエンスがあると確信しているのはわずか19％
回答者の58％が、パートナーやサプライヤーは自組織よりもレジリエンスが低いと感じている
回答者の88％が、自らのエコシステムに属する中小企業（SME）のサイバーレジリエンスを懸念している。
こうした状況を変えることはできる。組織が自らを縛るこうした偏見を乗り越えれば、各組織はパートナーの集合知と総合的な能力から恩恵を得られる。脆弱で相互につながったエコシステムが崩壊した際に連鎖的に生じる影響を食い止めるには、これが欠かせない。近年の多くの出来事がそのことを示している。
世界経済フォーラムはサイバーセキュリティにどう取り組んでいるのか？
サイバーセキュリティセンターは、リーダーたちが集い、変化し続けるサイバーリスクとそのシステム全体への影響を理解するための、信頼できるプラットフォームを提供している。相互接続がますます進むデジタル世界において、理解と信頼の構築に取り組んでいる。
分野を越えた連携と知見の共有を可能にすることで、同センターはパートナーのサイバーレジリエンス強化を支援し、集団的な対応が必要な課題に取り組んでいる。
サイバー分野の連携と知恵の共有
長引く不信感を乗り越えるには、組織はサイバー専門家が通常想定するものとは異なる、もう一つの重要な脆弱性、すなわち組織の真の姿を見せる脆弱性を受け入れる必要がある。サイバーレジリエンス態勢の不備について、組織内およびエコシステム内で透明性を保つ姿勢を受け入れなければならない。自らがさらされているリスクについて現実的な見通しを示し、混乱がシステム全体にもたらす影響を明確に伝えるべきだ。混乱を招く事象の経験を率直に語り、そこから得た教訓を共有すべきである。
セキュリティ対策による予防が機能しなくなったとき、それを引き継ぐのがサイバーレジリエンスだ。デジタル経済では、サイバー上の混乱を乗り越える力が市場の勝者を分ける。脆弱性を強みに変える組織は、健全なリスクを取る自信を持てる。
組織の脆弱性を強みに変えるのは容易ではない。幸い、世界経済フォーラムがアクセンチュアとの協力により新たに発表した「サイバーレジリエンス指標フレームワーク」は、レジリエンスの文化を育むための6つの原則を示している。
サイバーリスクを定期的に評価し、優先順位を付ける
セキュリティの中核となる基本事項を確立し、維持する
サイバーレジリエンスのガバナンスを事業戦略に組み込む
システム全体のレジリエンスとエコシステム全体の連携を促進する
設計がサイバーレジリエンスを支えるようにする
レジリエンスの文化を育む
とりわけ、サイバーレジリエンスの文化を育むことと、システム全体のレジリエンスおよび連携を促進することの2つの原則は、長らく過小評価されてきた。どちらも、脆弱性をサイバーレジリエンスに変えるための出発点となる。これらの原則は、次のように実践できる。
次の文化を育む：サイバーレジリエンス
従業員がサイバーレジリエンスに資する行動を理解し、実践できるようにする。この原則には、次の取り組みが含まれる。
説明責任と透明性を通じて信頼を得る：経営陣は、サイバーレジリエンス戦略、実践、業務、成功例、失敗について、定期的に、明確かつ率直に伝える。これにより、組織の成功に関する知識、信頼、開放性、当事者意識を築き、維持する。
サイバーレジリエンスを理解するリーダーシップ：リーダーには、ベストプラクティスに沿って組織のサイバーレジリエンスを管理する専門知識と権限があり、状況の変化に応じて専門性を高める動機付けもある。
リーダーシップが文化を推進する：リーダーは組織の方向性を示し、組織のあらゆる階層でサイバーレジリエンスに関する能力と説明責任の文化を推進する仕組みを整える。
従業員の行動を後押しする：従業員は定められたサイバーレジリエンスの目標を理解し、組織のサイバーレジリエンスに責任を感じ、処罰を恐れず日々のやり取りでサイバーレジリエンスに資する行動を取れるよう支援される。
継続的な研修を提供する：従業員は、サイバーレジリエンスの概念とベストプラクティス、その重要性、日々の職務における役割について学ぶ。サイバーレジリエンスを取り巻く状況の変化に合わせて、こうした教訓を継続的に実践する。さらに、自らの行動について速やかにフィードバックを受ける。
システム全体のレジリエンスとエコシステム全体の連携を促進する
組織は自らのエコシステム内の相互依存関係を理解し、他の組織と関わり、エコシステム全体のレジリエンス維持における役割を果たす。この原則には、次の取り組みが含まれる。
知識、説明責任、透明性を通じた信頼：組織は、エコシステムのパートナーに対して実践、業務、成功例、失敗について透明性を保ち、ベストプラクティスを共有して、よりレジリエンスの高い集団を築く。
エコシステム全体の連携。経営陣は連携の文化を築き、知識や情報を共有するための戦略目標を設定する。また、エコシステム内のサイバーリスクを特定、理解し、軽減する。組織は業界の同業者や政策立案者とも積極的に連携する。
エコシステム全体のサイバーレジリエンス能力。組織はエコシステムの他の構成員とともに、知識の共有、意識の向上、実践の全般的な水準の引き上げに向けて、集団としてのサイバーレジリエンス能力を継続的に高める。これにより、エコシステムの全構成員の総合的な能力が向上し、イノベーション、備え、防御、対応、復旧の適切なバランスが保たれる。
これらの原則と実践は、組織やエコシステムに必要な種類のサイバー上の脆弱性を促す。より能力の高いエコシステムを築くだけではない。持続可能な競争優位を得る機会にもつながる。確信を持って脆弱性を受け入れ、サイバーレジリエンスを迅速に導入する組織は、業界のリーダーとして早期に頭角を現し、エコシステムの基準を定める。
ISO 31000:2018は、リスクとは「目標に対する不確実性の影響」であり、一般的な考え方に反して、その影響はプラスにもマイナスにもなり得ると強調している。第四次産業革命のさなか、システム全体の相互依存はサイバーリスクのマイナス面のコストを生む一方で、それを大きく上回るプラスの価値ももたらす。どちらの側面でも、レジリエンスのある組織行動が未来に及ぼす影響は、個々の要素の総和を超える。デジタルの未来を導く組織とは、自力だけでは成し遂げられないと認めるだけの脆弱性を持つと同時に、企業がそもそも単独で試みるべきではないと理解するだけの自信と知見を備えた組織である。
