73%の組織がサイバーセキュリティをビジネス上の優先事項と考えている一方、取締役会がその認識を財務的な資源配分で裏付けているのは59%にとどまり、AIに関連するサイバーリスクを理解しているのは半数程度に過ぎません。
今日のサイバー脅威への対処に必要なスキルは変化しつつあり、組織はそのための支援としてAIツールへの依存を強めています。これは正しく実行されれば、新たな能力開発の機会をもたらします。
経営層は、取締役会レベルの説明責任を強化し、人材のスキルに投資し、明確なガバナンスと人による監督を伴ってAIを導入することで、サイバーセキュリティのギャップを解消できます。
サイバーセキュリティは取締役会の議題に上るようになりました。最近の調査によると、73%の組織は、これを単なる技術的機能ではなく、ビジネス上の優先事項と捉えています。これは重要な考え方の転換です。経営幹部は、サイバーインシデントが収益、評判、そして長期的な事業の安定性に影響を及ぼしうることを、ますます理解するようになっているためです。
とはいえ、認識が行動に十分結びついているわけではありません。組織は問題をますます認識しているものの、それに対処するための体制はまだ十分に整っていません。
約59%の取締役会は、サイバーセキュリティを適切な投資に裏付けられた財務上の優先事項として扱っています。したがって、経営層が重要だと述べていることと、実際に資源が配分されていることとの間には、大きな隔たりがあります。
この認識と投資の間のギャップは、ガバナンスが現代のサイバーリスクの現実に追いついていないことを示す最も明確な兆候の一つです。
新たなリスクや台頭するリスクについても、同様の問題が見られます。AIは事業やセキュリティ環境に急速に導入されており、多くの場合ガバナンス体制の整備を上回るペースで進んでいますが、現在、取締役会が人工知能(AI)に関連するサイバーリスクを十分理解していると答えた経営層は約半数にとどまります。
課題をさらに複雑にしているのは、報告書によると、AIと自動化により攻撃者はより速く、より大規模に行動できるようになっており、クラウドサービスや盗まれたIDを利用して、ほとんどのセキュリティチームが対応する前にシステムに侵入しているとのことです。
継続的な学習と明確なスキルアップの道筋に投資する組織は、人材の定着率を高めるだけでなく、ますます複雑化するAI主導のセキュリティ環境を管理するための、より強固な社内能力を構築しています。
人材危機がAIのパラドックスを生む仕組み
サイバーリスクへの課題は、必要とされるスキルの変化の速さによって、さらに複雑になっています。現在、多くの組織は、専門人材を見つけることに苦労しており、サイバーセキュリティの専門知識とAIの知識を兼ね備えた人材を確保できずにいます。
その結果、組織は不足を補い効率を高めるために、AIツールへの依存を強めています。多くの場合、これは短期的には機能していますが、同時に自己強化的なサイクルも生み出しています。
スキルを持つ人材の不足は、AIへの依存を高め、それがさらに専門性の高いスキルの必要性を増大させます。問題を解決するどころか、技術面と人材面のギャップが互いを増幅させています。
一方で、AIは速度を大幅に向上させることができ、規模や検知能力も高められますが、特に新しく、不明確で、急速に変化する状況においては、人間の判断に取って代わることはできません。システムが予期せぬ動作をする場合や、攻撃者が新しい手法を用いる場合には、経験と直感が依然として重要です。
だからこそ、より優れたツールだけでは十分ではありません。重要なのは、組織がサイバーリスクに関して適切な判断を下すための資源を備えているか、人材、プロセス、技術に適切な箇所へ投資しているか、そして問題が生じた際に迅速に対応できる体制を整えているかどうかです。
人材の定着がサイバーセキュリティの課題である理由
同時に、経営層は人材の定着の問題にも取り組まなければなりません。サイバーセキュリティ専門家が職務を離れる最大の理由は、研修や能力開発の機会の欠如です。
これは重要な指摘です。なぜなら、解決策の一部を経営層の責任に直接結びつけるものだからです。継続的な学習と明確なスキルアップの道筋に投資する組織は、人材の定着率を高めるだけでなく、ますます複雑化するAI主導のセキュリティ環境を管理するための、より強固な社内能力も構築しています。
最もレジリエンスの高い組織は、適切なバランスを取れる組織となるでしょう。AIを活用してチームを強化すると同時に、自動化が限界に達した際にも人間の専門性が介入できるだけの力を維持することを確実にします。
ガバナンス、投資、人材育成の体制を整えずにサイバーリスクを認識するだけの組織は、脆弱な基盤の上に事業を築いているのです。
経営層がサイバーセキュリティのガバナンス・ギャップを埋めるためにできる3つのこと
1. 取締役会を認識から説明責任へと移行させる
サイバーセキュリティは単にリスクとして議論されるだけでなく、組織の統治の仕組みに組み込まれるべきです。そのためには、取締役会レベルでの体系的なサイバーセキュリティ教育、ガバナンスへのサイバー専門知識の組み込み、そしてレジリエンスを単に口先で認めるのではなく、戦略的優先事項として資金を投じる意思が必要です。
2. 人材戦略をリスク管理として扱う
サイバーセキュリティの能力は、ツールだけでなく人に依存します。これは、既存の実務者のリスキリングへの投資、確実なフォローアップを伴う多様な人材パイプラインの構築、そしてコンプライアンス主導ではなく、体系的かつ役割に即したAI学習の道筋を作ることを意味します。
3. 技術的な姿勢だけでなく、ガバナンスの観点からAIを導入する
明確な責任体制、検証された活用事例、そして人による監督を念頭に置いた意図的な設計こそが、AIの恩恵を受ける組織と、AIへの依存に陥る組織とを分けるものです。したがって、AIは単純に追加できるソリューションとして扱うのではなく、管理された意図的な方法で意思決定に組み込まれるべきです。
経営層はサイバーリスクの次の時代をいかにうまく乗り切れるか
取締役会レベルの認識と説明責任の間にあるギャップは、技術の問題ではありません。それはガバナンスの問題であり、経営層が解消できる問題です。
サイバーリスクの次の時代をうまく乗り切るのに最も適した立場にある組織は、技術を効果的かつ責任を持って活用するために必要なガバナンス体制、人材戦略、意思決定能力を構築してきた組織です。
そうした組織では、経営層がそれらのツールにできることとできないことを理解しており、人の判断が依然として重視され育成されていて、サイバーの成果に対する説明責任が明確に最上層に置かれています。
その逆もまた真実です。ガバナンス、投資、人材育成の体制を整えずにサイバーリスクを認識するだけの組織は、脆弱な基盤の上に事業を築いているのです。
ガバナンス・ギャップを埋めるには、まず決断から始める必要があります。サイバーリスクを認識することから、それを自ら引き受けることへと移行することです。認識から説明責任への転換こそが、今日のサイバーレジリエンスを備えたリーダーシップを特徴づけるものです。
