現代社会はデジタル技術に体系的に依存しており、もはや後戻りできない段階に達している。第4次産業革命はデジタル世界への移行を可能にし、機会をもたらした。デジタル化は多くの利点をもたらすが、その急速な進展ゆえに、私たちはサイバー上の不安定さの中で生活している。
企業へのサイバー攻撃は過去5年でほぼ倍増した。デジタル技術を経済、日常生活、公共の安全に関する実務から排除することはできないため、私たちは責任を負い、大規模なサイバー攻撃を防ぐためにイノベーションの際にはるかに徹底的にセキュリティを適用しなければならない。その攻撃には、データの損失、プライバシーの喪失、その他の悪影響が含まれる。
これまで最も有名なサイバー侵害は、プライバシーや機密性の侵害に関するものだった。近い将来は、はるかに大きな問題として、悪名高いマースク攻撃のように、完全性や可用性への潜在的な攻撃が起こるだろう。この攻撃では、ある企業のネットワークと業務が数日間停止した。現在でも技術への信頼が低いなか、ハッカーがデータの完全性を改ざんし、血液型、アレルギー、病歴を含む患者の健康記録を変更できるようになったらどうなるだろうか。ハッカーが可用性を攻撃し、列車の信号システムを誤作動させて複数の事故を引き起こすことができるようになったらどうなるだろうか。
信頼を回復するためには、企業のイノベーション開発の最前線に責任とセキュリティを置かなければならない。長期的には、この2つの価値を優先することが投資家の利益にもなる。イノベーションに資金を提供する投資家は、スタートアップや中小企業がまずセキュリティを優先するよう導かなければならない。
これらの投資家は、セキュリティがあらゆる持続可能な投資の基盤であり、その実現において自らが重要な役割を担っていることを認識すべきである。多くの場合、投資家はポートフォリオ企業の成功を支援するために非常に積極的な役割を果たしている。成功の一部は、資金提供されるイノベーションとその社会への影響について長期的なビジョンを示すことにある。
投資家が主導する必要がある。製品開発の終盤でセキュリティを追加するよりも、初期段階で組み込む方が費用対効果が高く効率的だからだ。これは、火災が燃え広がってから食い止めるよりも、防ぐ方がはるかに安上がりなのと同じである。早期にセキュリティを優先する企業は、自社の事業ニーズとデータの機密性に基づき、選択肢を評価して合理的な判断を下すことができる。
投資家がより安全で責任あるイノベーションに影響を与える方法は、以下の4つである。
投資家教育
技術コミュニティと投資家の間の知識の格差を縮めるため、投資家はポートフォリオ企業におけるセキュリティの重要性を理解しなければならない。サイバーリスクが高まる中、投資プロセスにおいてサイバーリスクを評価する必要性について投資家を教育することが重要である。技術をより安全にする要素への理解、企業のセキュリティ態勢に対する的確な判断、リスク管理戦略を評価する能力は、徹底した投資デューデリジェンスにおいて不可欠な要素になりつつある。投資家は、今後の市場動向を学び、サイバーセキュリティの重要性をより深く理解し、イノベーションにおけるセキュリティの現状に疑問を投げかけ、それに異議を唱えられるようになるべきである。
共通言語
サイバーセキュリティについて語る際、投資家と技術コミュニティが同じ言語で話すことが重要である。現状では、投資家は一つの言語、経営者は別の言語、技術責任者は三つ目の言語で話している。普遍的な言語の必要性は、中小企業でより顕著である。サイバーセキュリティとその重要性への理解を深めるためには、単なるIT問題としてではなく、事業リスクとしてサイバーセキュリティに対処するための、投資コミュニティにおける共通言語が必要である。
これには、サイバーセキュリティの専門性を企業内のどこに位置づけるか、サイバーセキュリティリスクをどのように開示し測定するか、主要なサイバー脅威は何か、サイバーセキュリティ監査と評価に何を含めるべきか、そして最後に、サイバーセキュリティの問題について取締役会が責任を負うかどうかといった詳細について合意することが含まれる。現在、セキュリティについて言及する際、投資コミュニティと技術イノベーターの間には大きな隔たりがある。基本的な用語の定義について合意することは、この隔たりを埋める助けとなる。
セキュリティが投資に与える影響を理解する
サイバー脅威がエスカレートし続ける中、消費者はより高いサイバーセキュリティを求め、データのプライバシーに疑問を持つようになっている。開発においてセキュリティを優先する企業は、競合他社に対して優位に立つことができる。Ping Identity 2018 Surveyによれば、データ侵害が発生した後、消費者の78%はオンライン上で影響を受けたブランドとの関わりを断つ傾向があり、36%は完全にそのブランドとの関わりを断つと回答した。回答者のほぼ半数(49%)は、最近データ侵害を経験したサービスやアプリケーションを利用しないと回答した。この調査が示すように、サイバー侵害は特に知名度を確立しつつある企業にとって大きな打撃となりうる。知名度の低いブランドにとって侵害は致命的になりかねない。
デジタルネイティブ世代が新たに消費者市場に加わるにつれ、組み込み型のより優れたセキュリティへの需要は高まるだろう。Deloitte/SSI 2016 Consumer Surveyによれば、若い世代(ミレニアル世代やZ世代)は、上の世代よりも多くの保護措置を講じている。
相当の注意義務の基準
投資プロセスにおいて、投資家は利益と収益の質を検討する。では、なぜ投資家は企業とその製品のセキュリティの質を検討しないのだろうか。企業を評価する際の普遍的に合意された相当の注意義務の基準があれば、投資家はそれに応じて投資やインセンティブを調整できるはずである。このようなサイバーセキュリティの相当の注意義務の基準は、包括的であるべきであり、業界横断的な基本基準と、スタートアップから中小企業に至るまで企業の発展段階ごとの異なる評価水準の両方を含むべきである。相当の注意義務の基準が策定されれば、企業はその基準に基づく実績について、公正かつ透明な方法で評価され、ベンチマーク化されうる。
投資家とイノベーターは、新技術の開発において恐怖と希望の適切なバランスを見出さなければならない。そのためには、両方のコミュニティが同じ言語で話し、イノベーション開発におけるセキュリティと責任の重要性について同様の理解を持つ必要がある。
