サイバー攻撃は増加しているが、多くの組織は脅威に対処する備えが不十分だ。
サイバーリスク貸借対照表は、組織に財務上の影響を及ぼす可能性があるサイバー事象を記録する。
新たな報告書は、組織がサイバーリスクの経済性をより効果的に管理し、理解する方法を示している。
私たちは毎日、サイバー犯罪に関する新たな見出しを読んだり、新たなデータ侵害の報告を耳にしたりしている。あらゆるデータが、ハッカーの数が増えていることを示している。データやネットワーク接続型センサーが指数関数的に増加していることを考慮し、AI、自動化、拡張現実、埋め込み型医療機器、自動運転車の力を組み合わせれば、この問題を直ちに別の軌道に乗せる必要があることは明らかだ。
サイバー攻撃の頻度が増し、被害が恐ろしいほど複雑化しているにもかかわらず、組織にとって、こうした攻撃に最善の形で備え、被害を軽減する方法を把握することは依然として課題だ。問題は、組織がサイバーリスクと自らの対策のバランスを取るのが難しいことにある。多くの場合、組織はサイバーリスクを過小評価したり、正しく理解できていなかったりする。
サイバーセキュリティへの投資は、製品の研究開発、従業員の福利厚生、株主還元への投資と引き換えになるものと見なされている。しかし実際には、こうした投資はすべて全体的に捉えるべきだ。この目的に向け、世界経済フォーラムはパートナーとともに、NACD、ISA、PwCとの協力のもと、以下を公表した。サイバーリスクに関する取締役会ガバナンスの原則これは、増え続けるサイバーリスクという見えない台帳をどう読み解くかについて、組織がよりよく管理し、理解できるようにするものだ。この指針の重要な原則の一つは、取締役会が「サイバーリスクの経済的要因と影響を理解する」ことである。
取締役会メンバーのサイバーリスクの経済性に対する理解が深まるにつれて、リスクに基づく意思決定を主導し、組織を率いてサイバー事象に対処する力が高まる。PwCが2022年に実施した調査によると、世界の組織の42.5％が、取締役会のサイバー関連事項への理解度の評価を高めるうえで大きな進展があったと回答した。
サイバーリスク貸借対照表は、どのように組織を守るのか？
サイバーリスク貸借対照表の作成は、リーダーがサイバーリスクに関する意思決定を直ちに改善するために実行できる「強力な一手」の一つだ。リスクに対する考え方や企業行動を少し変えるだけで、サイバー衛生を既存の全社的なリスク管理の仕組みに結びつけ、理解を深め、賢明な投資を促し、望ましい行動を評価できる。この強力な一手は、サイバーリスクの見えない台帳を見える化する。
取締役会メンバーであれば、サイバー部門のリーダーに働きかけ、組織に財務的に重大な影響を及ぼし得るサイバー事象を記録し、定量化するサイバーリスク貸借対照表をチームに作成させよう。作成の主な手順は次のとおりだ。
組織のリスクプロファイルに合わせたサイバーリスク定量化の枠組みを定める。これは、情報リスクの要因分析（FAIR）を、NIST SP 800-53やISO 27005など、業界の他のガイドラインと併用して策定できる。FAIRではシナリオモデリングを活用し、組織がさまざまなリスク要因をまとめ、その相関関係を特定し、財務的影響を定量化できるよう支援する。
組織に関係する主要なサイバー脅威を特定し、脅威の発生確率、重要資産、脅威を軽減するために導入されているサイバーセキュリティ対策の有効性を評価する。
対象範囲に含まれるサイバー脅威の発生確率を、財務的なサイバーリスクと、関連する計画中または既存のサイバー投資に結びつけた貸借対照表にまとめる。
サイバーセキュリティに関して、世界経済フォーラムは何に取り組んでいるのか？
サイバーセキュリティセンターは、リーダーが集まり、進化するサイバーリスクとそのシステム全体への影響を理解するための信頼できるプラットフォームを提供している。相互接続がますます進むデジタル世界で、理解と信頼を築くことに重点を置いている。
分野横断的な連携と知見の共有を促すことで、同センターはパートナーのサイバーレジリエンス強化を支援し、集団的な対応を要する課題への取り組みを後押しする。
貸借対照表が完成したら、定期的に話し合いと見直しを行い、サイバーリスクの財務コストを枠組みとして、最終損益に内在する影響を理解し、具体的に捉える。この台帳を使って現在のセキュリティ投資の有効性を評価し、最高情報セキュリティ責任者（CISO）に対し、新たなサイバー投資の事業上の妥当性を、投資収益率（ROI）がプラスになることを示す形で説明するよう求めることができる。例えば、あるセキュリティ対策への投資に今後3年間で250万ドルかかる一方、サイバーリスク貸借対照表上のサイバーリスクを700万ドル分削減できる。
サイバーリスク貸借対照表の導入にあたっての主な検討事項
チームに成果への説明責任を持たせ、実際のリスク低減という形で投下資本へのリターンを求める。
セキュリティ部門のリーダーが自ら事業を深く理解し、事業部門との協力関係を築けるよう後押しする。事業の最終損益に影響しかねないサイバー災害のリスクを減らす支援を通じて、協力関係を築く。
計算に疑問を投げかける質問を歓迎し、それが事業部門の関与を促し、セキュリティを支持する助けになると認識する。
セキュリティ部門のリーダーに、CFOまたはERMチームと連携してリスク値を検証するよう促す。集計されたリスク項目を見直して妥当性を確認し、成果への投資を増やす。
CISO、最高技術責任者（CTO）、最高情報責任者（CIO）の各部門間の連携を強化する。CTOとCIOのチームに各サイバーシナリオの発生可能性と影響の分析へのフィードバックを求め、見積もりと貸借対照表のデータをさらに精緻化する。
貸借対照表を作成し、組織のリーダー間で数値について合意した後も、セキュリティチームは新たなシナリオを盛り込み、サイバー対策への投資ごとに事業上の妥当性を評価するため、表を継続的に更新すべきだ。この枠組みにより、既存のサイバー投資からより大きな効果を引き出すよう組織が求められるほか、有用性を失った後も貴重な人材や資本を消費してきた旧式のサイバー機能を廃止できる。
組織の将来への備え
この強力な一手は、 シンプルであるため組織内で機能する。また、恐怖をあおるのではなく、既存のサイバーリスクを透明化して理解を促す。リーダーが誰にも分かる言葉、つまりビジネスの言葉で解決策に取り組むための枠組みをつくる。PwCが2022年に実施した調査によると、世界の組織の76.5％が、全社的なセキュリティ管理チームの意見を取り入れた経営判断の数を増やすうえで、一定以上の進展があったと回答した。組織がどの業界や分野で事業を営んでいるかにかかわらず、すべての企業幹部は自らが生み出す価値に誇りを持ち、その価値を脅かすものを認識している。
サイバーリスク貸借対照表は、透明性を通じて信頼を促し、セキュリティ、テクノロジー、収益を生み出す事業部門の連携を強化する。会社の利益と、それを守る人々の利益を一致させる。
企業が対処すべきリスクはさまざまあり、サイバー空間のリスクは日々増大している。しかし、現実世界でよく当てはまることはサイバー空間でも同じだ。知識は力をもたらす。取締役会が自社のサイバーリスクと経済的影響について知り、理解するほど、それらをより適切に管理できる。
