取締役会メンバーと情報担当役員の率直なコミュニケーションは、優れたサイバーセキュリティの実現に欠かせない。
サイバー専門家は、専門用語に頼らないストーリーテリングで知見を伝え、事業との関連性を明確に示さなければならない。
企業のリーダーは、組織全体に浸透するサイバーセキュリティ意識の高い文化を目指すべきだ。
地政学的緊張の高まり、ハイブリッド勤務の広がり、そして従業員がいつでもどこでもつながっていたいという需要を背景に、組織はサイバーリスクの管理という、とりわけ困難な課題に直面している。
銀行にとって、これは従来のリスク管理モデルである「防衛の三線モデル」が、かつてないほどの圧力にさらされていることを意味する。第1線では最高情報セキュリティ責任者（CISO）がリスクを所管・管理し、第2線では最高情報セキュリティリスク責任者（CISRO）が異議を唱え、監督を行い、第3線では独立した保証を提供する。金融セクターの相互連関性と、脅威の実行者に狙われているという立場を踏まえると、レジリエンスを継続的に高め、管理策の持続可能性を確保することが極めて重要だ。
したがって、取締役会議長とCISROの連携は重要である。CISROは、組織がサイバーリスクを適切に管理していると議長が確信できるようにする必要がある。しかし、重要性が高まっているにもかかわらず、多くの取締役は依然として、サイバーセキュリティを自身の経験の範囲外にある複雑なテーマと捉えている。両者の率直で定期的なコミュニケーションは、この隔たりを埋める助けとなる。
複雑なサイバーセキュリティの概念を分かりやすくする
CISROとそのリーダーシップチームは、ストーリーテリングを通じて支援できる。複雑なサイバーセキュリティの概念を短く分かりやすい情報にかみ砕き、リスク低減の取り組みや規制変更が事業にどう関係するかを伝えるガバナンス関連文書や説明資料を提供する、といった方法がある。
サイバーセキュリティには一定の技術性と複雑さが伴うが、サイバー分野のリーダーは、影響力のある効果的な伝え方をし、技術的な内容を分かりやすく説明する力を発揮することが不可欠だ。そうすれば取締役は、十分な知見に基づいて質問し、より効果的に役割を果たせる。
ガバナンス委員会のメンバーがサイバーリスクにより効果的に関与できるよう促す、実践的な方法がある。たとえば、提出書類に使える標準テンプレートを作成すること、各会合に合わせて修正・更新できる要点メッセージを用意すること、そして平易な言葉で「何がうまくいったか」「何を改善できたか」「事業への影響は何か」と質問することだ。
事業における複雑な技術課題への直接的な対応に深く携わる人々にとって、これは難しい場合もある。しかし、こうした戦略的な視点を示すことで、取締役は企業リーダーとしての経験や他の種類のリスクに関する知識を活用し、サイバーリスクを詳しく検討できる。
取締役会が戦略的な理解を深められるよう支援する
取締役会が踏み込んだ鋭い質問をできるようにするには、対象に合わせた意識向上セッションを通じて、事業への影響、リスク許容度の指標、リスク低減の目標を効果的に理解してもらうことができる。社内の専門知識を活用すれば、事業に即した資料やシナリオを作成できる一方、業界のラウンドテーブルや専門家の「サイバーアドバイザー」など、外部の情報源から得られる知見も、ベストプラクティスや規範に関する知識を保つうえで欠かせない。
改訂されたWEFの「サイバーリスクに関する取締役会ガバナンス原則」に沿って、スタンダードチャータード銀行は近年、取締役がサイバーリスクの時事的な側面について、進行役のもとで議論する定期的な社内フォーラムを活用してきた。防衛の三線に関わる主要な利害関係者が参加し、あらゆる質問が歓迎され、経験豊富なサイバー専門家が進行する環境を整えたこのフォーラムは、幅広い関与・意識向上活動と相まって、取締役会の専門性を高める効果的な方法となっている。
これらのプログラムでは、戦略的で 反応的ではなく長期的な視点に立つ複合的なアプローチを採用し、幅広い技術動向や事業に関わる変化に焦点を当てるとともに、業界や第三者に関する最近の注目度の高い情報漏えいやインシデントも取り上げる。こうした事例は、取締役がすでに認識していることも多い。
強固なリスク文化を築く
こうした公式な対話の場以外でも、サイバー分野のリーダーは事業において思慮深く自覚的なリーダーでなければならず、組織内にサイバーセキュリティ意識の高い文化を築くよう働きかける必要がある。
強固な文化があれば、上級の企業リーダーは単に「トップが姿勢を示す」だけにとどまらず、サイバーセキュリティの重要性を説得する必要がないほど受け入れ態勢の整った組織に、サイバーリスクを意識する考え方を根付かせることができる。これにより、日々の思考や行動にサイバーリスクへの配慮が自然に組み込まれる。トップダウンのメッセージを補完しながら、現場からこの考え方を浸透させることで、組織のサイバーレジリエンスは長期的に強化される。
最終的には、建設的でありながら互いに高め合う関係を築くことが重要だ。CISROから取締役会へのコミュニケーションは、透明性があり、相手に合わせて調整され、分かりやすく伝わるものでなければならない。成果と失敗は、正確かつバランスよく、事業に焦点を当てて説明しなければならない。取締役会への報告は、会議体や状況に応じて調整し、「それが何を意味するのか」を示して、リスクを事業全体の目標と結び付ける必要がある。銀行や金融サービスセクターの組織にとっては、規制面を十分に扱うことも重要だ。
サイバーセキュリティに関して、世界経済フォーラムはどのような取り組みを行っていますか？
サイバーセキュリティセンターは、リーダーたちが集まり、変化するサイバーリスクとそのシステミックな影響を理解するための信頼できるプラットフォームを提供している。相互連結がますます進むデジタル世界において、理解と信頼を築くことに重点を置いている。
セクターを越えた連携と知見の共有を可能にすることで、同センターはパートナーがサイバーレジリエンスを強化し、共同での対応が必要な課題に取り組むことを支援している。
議長にとって重要なのは、好奇心を持ってこのテーマに臨むことだ。その姿勢は率直な対話を続け、サイバーセキュリティの概念や重点分野への理解を深めるとともに、サイバー部門がリスクの適切な管理に引き続き取り組むよう促す助けとなる。これらを結び付けることで、サイバーセキュリティに関する説得力ある戦略的ビジョンが生まれ、組織の長期的な方向性と短期的な優先事項の双方を定められる。議長とCISROは、そのビジョンが事業ニーズに合致するようにし、サイバーセキュリティを将来の成功に不可欠なものとして位置付けることができる。
「広範に蔓延するサイバー犯罪とサイバー不安」は、『グローバルリスク報告書2023』によると、世界の重大リスク上位10項目の一つだ。詳しくは報告書をお読みください。
