サイバー犯罪が広範に広がる現在、サイバーセキュリティはビジネスリーダーにとって戦略上の最重要課題となっている。
リーダーは、システムの保護に加えて、サイバー攻撃の結果として生じるより広範な社会的課題にも取り組まなければならない。
サイバーリテラシーは今やリーダーシップに不可欠な要件となっているが、それを阻む主要な課題は2つある。
世界経済フォーラムの『Global Cybersecurity Outlook 2024』によると、ビジネスリーダーの91%は、今後2年以内に壊滅的なサイバー事象が発生する可能性が少なくともある程度あると考えている。2023年だけでも、データ侵害1件あたりの世界平均コストは445万ドルに達し、過去3年間で15%増加した。金銭的な損害にとどまらず、近年のサイバー攻撃は病院の機能を妨げ、地方自治体の業務を麻痺させ、企業のシステムを混乱させ、国家インフラを脅かしている。これらの動きは単純な現実を浮き彫りにしている。サイバーセキュリティはもはやIT部門だけの技術的な問題ではなく、リーダーにとって戦略上の最重要課題である。
その影響は金銭的な損失をはるかに超えて広がる。サイバー脅威は社会を不安定化させ、制度への信頼を損ない、さらには国家安全保障をも脅かしかねない。今日のサイバーセキュリティは、技術と同じくらいリーダーシップ、ガバナンス、レジリエンスの問題である。システムを守ることは課題の一部にすぎず、リーダーはサイバー攻撃によって公共の信頼が損なわれたことで生じる社会の分断にも対処し、倫理を守り、社会を守らなければならない。
象徴的な例として、2022年の春には、ルーマニアの政府サイト、軍のポータル、銀行のプラットフォーム、報道機関を標的とした、組織的なサービス拒否（DDoS）攻撃の波が起きた。これらの攻撃は親ロシア派のハクティビスト集団Killnetによるものとされ、ルーマニア上院議長がウクライナへの軍事支援について公に発言した直後に発生した。このサイバー妨害は、ロシアとの紛争におけるウクライナへのルーマニアの支持に対する報復と広く解釈された。
さらに最近では、親ロシア派のハッカー集団が、ウクライナや欧州のインフラを標的にし、混乱を引き起こすだけでなく、偽情報を拡散させ、政治的結束を弱めようとしている。こうした事例は世界各地で起きており、サイバー攻撃が社会の分断を加速させる要因となり得ること、そしてその波及効果がデジタル領域をはるかに超えることを示している。
選挙、企業の情報漏えい、地政学的紛争など、民間部門や公共部門でこうした危機が発生した際、リーダーには明確さと安心感を示すことに加え、セキュリティ侵害への迅速な解決も同時に求められる。リーダーの言葉は信頼を形作る。それでも、技術的理解の不足やこの分野の定義の曖昧さに阻まれ、リーダーがサイバー問題について曖昧な態度をとったり、沈黙したりすることが多すぎる。
多くのCスイート（経営幹部）や政策立案者は、サイバーセキュリティ用語に圧倒されると、戦略の策定を避けてしまうことさえあり、そのことが攻撃に対する脆弱性を高めている。例えばある病院では、重大な情報漏えいが起きるまで、理事会が技術的な複雑さに怖気づいたという理由だけで、サイバーレジリエンス計画の必要性を退けていた。さらに、ある数十億ドル規模の企業は、CEOがこの問題への対応を準備していなかったために、サイバー攻撃を受けて一夜にして事実上崩壊し、結果として消費者の信頼を失った。こうした盲点により、組織は残念ながら先を見越した対応ではなく、後手の対応を余儀なくされている。
したがって、サイバーリテラシーは基本的なリーダーシップの能力とならなければならない。エンロン事件の後、財務リテラシーが企業の取締役会にとって必須条件となったように、21世紀のリーダーシップにおいてサイバーリテラシーも急速に必須となりつつある。政府、企業、社会が共有する責任としてサイバーセキュリティを当たり前のものとすることは、リーダーが的確な質問を投げかけ、専門家に説明責任を果たさせ、ステークホルダーと明確にコミュニケーションをとれるようにすることを意味する。サイバーセキュリティはもはや専門家だけの関心事ではなく、デジタル時代のリーダーシップの中核をなす要素である。
立ちはだかる課題は2つある。定義の曖昧さと、世界的な信頼の欠如である。
1. 定義の曖昧さ
研究によれば、サイバーセキュリティについて普遍的に受け入れられた定義は存在せず、そのことが政策や実務に混乱をもたらしている（Neil et al., 2023）。規制当局は、その内容を明確にしないまま、「合理的なサイバーセキュリティ」という曖昧な要件に頼ることが多い（Brookings, 2024）。前進するための現実的な方法は、専門家でない人にも理解しやすい実用的な定義を確立することであり、その際には機密性、完全性、可用性といった原則を基盤とし、プライバシー、透明性、公正性などの倫理的配慮も組み込むことである。
NISTやISOなどの組織は、非技術系の対象者向けに簡素化された枠組みをすでに公表している。企業は、リスクをビジネス言語に置き換えた「サイバープレイブック」を経営幹部や取締役会向けに作成することで、これらの枠組みを発展させることができる。EUサイバーレジリエンス法（2023年）は、倫理的かつレジリエンスのある実践を義務付けることで、この転換をさらに後押しし、サイバーセキュリティ戦略が防御的であるだけでなく、原則に基づいたものとなるよう確保している。
2. 信頼の欠如
リーダーシップに対する信頼は歴史的な低水準にある。エデルマン・トラスト・バロメーター（2024年）によると、リーダーが真実を語ると信頼している回答者は半数未満である。信頼がなければ、技術的に適切なサイバー戦略であっても、従業員、市民、市場を安心させることはできない。したがってリーダーは、技術者になるのではなく、的確な質問を投げかけ、リスク管理を監督し、脅威や対応について効果的に伝達することによって、サイバーリテラシーを示し、信頼性を築かなければならない。
役立つ実践的な取り組みも現れつつある。多くの企業は、経営幹部向けのサイバー演習を実施したり、経営チームレベルでサイバーセキュリティの没入型学習プログラムに投資したりして、サイバー攻撃への対応を繰り返し訓練している。こうした演習によりリーダーは技術面と評判面の双方の利害に触れ、プレッシャーの下でも指揮を執れるよう備えることができる。また、短期の能力開発プログラムは、経営幹部が技術チームに全面的に委ねることなく、サイバーセキュリティについて議論する自信を得る助けにもなる。
フォーラムはグローバルなサイバーセキュリティの課題にどのように取り組んでいるか？
サイバーセキュリティセンターは、リーダーが一堂に会し、進化するサイバーリスクとその体系的な影響を理解するための信頼できる場を提供している。増大する相互接続されたデジタル世界において、理解と信頼の構築に重点を置いている。
セクターを超えた協力と知見の共有を可能にすることで、同センターはパートナーがサイバーレジリエンスを強化し、集団的な対応を必要とする課題に取り組む助けとなっている。
サイバーセキュリティは、もはやファイアウォールと暗号化だけの領域ではない。それは信頼、ガバナンス、リーダーシップの問題である。デジタル変革が加速する中、リーダーは、社会を脆弱にする定義と信頼という二つの隔たりを埋めなければならない。
