脅威を取り巻く状況は急速に変化しており、企業は新たなリスクに備えなければなりません。
IT担当者と経営幹部のコミュニケーション不足により、サイバーセキュリティ上のリスクが見過ごされるおそれがあります。
サイバーセキュリティを真に効果的なものにするには、組織文化の一部にする必要があります。
取締役会のメンバーや経営幹部は、投資家や株主の期待に応えながら事業目標を達成するという課題に日常的に直面しています。彼らの優先事項は、厳しく困難な事業環境のなかで、企業の収益性を高め、競争優位を保ち、次の革新的なアイデアを探し、従業員の意欲を高め、株主に配当を支払えるようにするなど、事業目標に向けられています。彼らは物事をビジネスの視点から捉えるように考え方が形づくられています。
残念ながら、これはサイバーセキュリティ担当者にとって好ましい状況ではありません。担当者の取り組みは、技術的な目標により狭く焦点を当てる傾向があるからです。多くの担当者は、自らの目標を会社全体の戦略目標とどのように整合させるかを理解するための時間を取っていません。その結果、IT担当者は潜在的なセキュリティリスクが事業にもたらす正味の影響を示せないことがよくあります。このため、重大な事態が起きて初めて議論されるまで、セキュリティ上のニーズは経営幹部や取締役会の目に留まらないことが少なくありません。
多くの企業では、会社の技術的目標と戦略上の狙いとのつながりを理解できないことに起因するコミュニケーション不足が、取締役会や経営幹部とサイバーセキュリティチームのメンバーとの間に大きな溝を生んでいます。しかし、必ずしもそうである必要はありません。
サイバーセキュリティは技術的な問題ではなく、ビジネス上の問題
脅威を取り巻く状況は急速に変化しており、組織が今日の新たなリスクを先回りして捉えることは難しくなっています。多くの企業は、この課題への答えは問題にさらに資金を投じ、攻撃を防ぐためにさまざまなセキュリティソリューションを導入することだと考えています。
しかし、サイバー犯罪者が一般に攻撃に成功するのは、セキュリティソリューションを欺くほど手口が高度だからではありません。企業の根本的なセキュリティ上の問題が放置されているためです。たとえば、エンドユーザーの問題行動（例：次のものを見分けられないこと：フィッシングメール）、次におけるセキュリティの欠如：サプライチェーン、また、従業員が適切な技術を利用できるにもかかわらず、手順上の不備によって次のことをしていないケースがあります：適切なアラートを監視したり、適切な対応を取るために事象を関連づけたりできないことです。
したがって、サイバーセキュリティの本質は技術的な問題ではなく、ビジネス上の問題であり、行動上の課題でもあります。組織は、ITチームと会社の経営幹部双方の目標が相互に結びついていることを理解したうえで、セキュリティへの取り組み方を変える必要があります。セキュリティ目標とその達成戦略は経営トップが定めるべきです。また、行動変容を促すため、具体的なセキュリティ目標を従業員の業績目標やサプライヤーのパフォーマンス評価に組み込む必要があります。効果的なセキュリティプログラムを実施し、従業員とパートナー双方のセキュリティ意識を高めることで、企業は資産や情報をより適切に保護し、侵害による影響を回避して、事業目標の達成を後押しできます。
コミュニケーションの溝を埋める
では、どうすれば実現できるでしょうか。IT部門と経営幹部の間のコミュニケーションの溝を乗り越えるには、双方が積極的に対話し、継続的に関わり合う必要があります。具体的には、ITチームが取締役会のメンバーにセキュリティ侵害が事業に及ぼし得る影響を説明し、セキュリティ目標と事業目標を戦略的に整合させられることを理解してもらう必要があります。
ただし、それを実現するには、まずサイバーセキュリティ担当者が事業戦略と目標を理解する時間を取り、それらを支えるセキュリティ戦略を策定する必要があります。セキュリティ目標と事業目標の明確なつながりを示せば、取締役会と経営幹部の双方が企業のセキュリティ強化策を理解し、承認する意欲を持つよう促すことができます。
サイバーセキュリティに関して、世界経済フォーラムは何をしているのでしょうか？
サイバーセキュリティセンターは、リーダーたちが集まり、変化するサイバーリスクとそのシステム全体への影響を理解するための信頼できるプラットフォームを提供しています。相互接続がますます進むデジタル世界で、理解と信頼を築くことに重点を置いています。
分野横断的な協力と知見の共有を促すことで、同センターはパートナーのサイバーレジリエンス強化を支援し、集団的な対応が必要な課題に取り組んでいます。
同時に、取締役会や経営幹部も、自らのセキュリティ上の懸念や優先事項をサイバーセキュリティチームに伝える必要があります。IT担当者が技術的な視点を持つことを理解し、会社の事業目標を明確に伝えながら、戦略的な指針と支援を提供することが重要です。そしておそらく最も重要なのは、セキュリティの不備が実際にビジネス上の問題であると認め、それに応じて優先事項を定めることです。
最後に、覚えておきたい点があります。サイバーセキュリティチームは、合意したセキュリティ目標がどのように実行され、事業戦略をどう支えてきたかを示す情報セキュリティ報告書を、半年ごとおよび毎年、会社の経営幹部に提出するべきです。これにより、取締役会と経営幹部は、セキュリティ予算の使途と、その結果として事業が得ている投資収益を把握できます。
傷ついても、壊れてはいない
多くの企業では、サイバーセキュリティチームと経営幹部が優先事項や目標をめぐってしばしば対立し、大きな断絶を生んで会社を分断しています。関係は今、傷ついているかもしれませんが、壊れてはいません。修復できます。
どのような関係でも、コミュニケーションの進め方を改める前に、双方が現状のやり方は持続可能ではないと認めることが大切です。双方が積極的に取り組み方を変え、相手の視点を理解する必要があります。
サイバーセキュリティの文化
著書カルチャー・ルールズ！のなかで、ジョン・チャイルドレスは「無視した文化が、そのまま定着する」と述べています。
サイバーセキュリティを真に効果的なものにするには、組織文化に深く根づかせる必要があります。コミュニケーションは、その隔たりを埋める第一歩です。課題やミス、誤解について透明性を保ち、日常的に話し合えるようにすることも含まれます。
双方が少しずつ譲り合えば、かつて対立していた者同士が、ビジネスとセキュリティの目標を一致させて取り組む最高のチームメイトになるまで、そう時間はかからないでしょう。
