デジタル時代において、サイバーセキュリティは取締役会メンバーの重要な責務です。
しかし、サイバーセキュリティリスクに対処する方法は数多くあります。責任者となる役員の任命から、パートナーとのベストガバナンス慣行の共有まで、その選択肢は多岐にわたります。
企業の評判が、顧客、取引先、パートナーの情報をいかに適切に管理するかにますます左右される事業環境において、取締役会はサイバーセキュリティに関する十分な情報に基づいて意思決定できなければなりません。
取締役会は、数多くの重要な任務の中でも、リスク選好度を設定し、経営陣に説明責任を負わせ、従業員が求められる期待に応えられるよう適切な境界条件を整える役割を担っています。デジタル化が進む世界において、サイバーセキュリティはこれらの責務の重要な構成要素でなければならず、ビジネスリーダーは長期的なレジリエンスにおいてサイバーセキュリティが重要であることを率先して示す必要があります。
取締役会メンバーが自社のサイバーセキュリティを強化するためにできる5つのことは、以下のとおりです。
1. サイバーリスクについて学ぶ
取締役会メンバーはサイバーセキュリティの専門家である必要はありませんが、サイバーリスクに関する知識を深める必要があります。現在、取締役会の会議で定期的にサイバー問題が取り上げられているのは、わずか3分の1にすぎません。この知識は、さまざまな方法で取締役会に取り入れることができます。机上演習や「ウォーゲーミング」によるサイバー危機の模擬訓練、その他の継続的な研修を、すべての取締役会の通常の慣行の一部とする必要があります。一部の 企業（ヒューレット・パッカード・エンタープライズ、ゴールドマン・サックス、スピリット航空など、業種の異なる企業を含め、サイバーリスクを担当する経験豊富な取締役を新たに加える動きが見られます。
取締役会は、社内外のサイバー専門家の意見を聞く必要もあります。すべての大企業は、サイバーリスクの評価と管理を担当する役員を置くことが賢明です。その役員は、定められた定期的な頻度で取締役会に報告し、率直かつ誠実に報告できなければなりません。
2. 自社の業界は安全だと思い込まない
金融サービス企業は、最大限のサイバーセキュリティを確保することが企業にとって極めて重要な目標であることを長年認識してきており、電力会社などの重要インフラ企業も迅速に対応してきました。自動車、航空、医療などの業界も、デバイスやモノのインターネットへの依存度が大幅に高まったことで、サイバー攻撃の標的となる可能性が飛躍的に高まっていることを認識し、それに応じてリスクプロファイルを見直しています。
しかし、サイバーセキュリティの重要性を認識している業界の間でも、サイバーレジリエンスの能力と成熟度には大きなばらつきがあります。また、これまでサイバー攻撃の標的となることが比較的少なかった鉱業などの資源採取産業も、知的財産やその他の非公開または機密情報を保護するために、サイバーセキュリティの態勢を強化する必要があります。
3. 初期段階からサイバーセキュリティを組み込む
企業が、まず革新を進め、セキュリティやプライバシーの確保を後回しにすることは、もはや許されません。企業が新たな技術を適応させる、あるいはさらに重要なことに、新たな技術を創出することを検討する際、取締役会は、これらの技術がサイバーリスクに関する判断に適合し、サイバーセキュリティが当初の段階から設計に組み込まれることを求めなければなりません。
人工知能（AI）は、その創造者でさえ予測できない形で変化し、行動することがあるため、最もサイバーリスクに精通した取締役会であっても、そのリスク評価に特に挑戦を突きつけることになります。例えば、多くの経営幹部はサイバー防御を強化するツールとしてAIに期待を寄せていますが、実際にそのとおりの効果を発揮し得る一方で、悪意ある主体がすでに攻撃のツールとしてAIを利用していることや、さらに深刻なことに、AI自体が攻撃の標的となり得ることに気づいていないことが多いのです。取締役会メンバーは、AIに関して自社が直面し得るリスクの程度を理解する必要があります。
同様に、量子コンピューティングは、モバイル電話の普及よりも速いペースでSFから現実のものへと進みつつあります。量子コンピューティングは、特定のユースケースにおいて莫大な価値創造の可能性を秘めているだけでなく、事業環境においてデータや取引の保護に用いられている、既存の多くの実用的な暗号方式を無効化する可能性も秘めています。データセキュリティに関心のある企業は、「ポスト量子暗号」と呼ばれるもの、すなわち、量子コンピュータによって効率的に解読され得る一般的な公開鍵アルゴリズムに依存しない暗号化方式への備えを、今すぐ始める必要があります。取締役会は、将来のセキュリティを確保するために、経営陣がこれらの新しい手法を試行できるよう後押しする必要があります。
4. サイバー格付けと評価に慣れる
長年にわたり、多くの企業経営者は、サイバーセキュリティツールやサービスをもう一つ追加すれば、自社は自動的に安全性が高まると考えてきました。今日では、経験と洗練された手法の向上により、アナリストは、インプット（「どのツールを使用しているか」）からアウトカム（「ツールによって何が達成されるか」）へと視点を移し、企業がサイバーレジリエンスをどの程度効果的かつ正確に確保できているかを評価できるようになっています。
取締役会は、サイバーセキュリティおよびサイバーレジリエンスの格付けに速やかに精通する必要があります。人々が、企業がどの程度データを保護しているかについての透明性を求める状況において、サイバーの評判は企業の評判そのものとなります。同様に重要なのは、保険会社、調達部門、信用格付機関もこうした格付けの重要性を理解し、それらを活用して独自の判断材料としていることです。ごく近い将来、効果的なサイバーセキュリティの確保は、適正な保険料率、契約、または良好な信用スコアを得るための前提条件となるでしょう。
5. 協力を推進する
かつてサイバー攻撃の多くは、犯罪者やハクティビストといった孤立した個人による行為でした。しかし今日では、組織犯罪グループや国家が支援するアクターなど、ネットワーク化された敵対者によって引き起こされることが増えており、個別の防御はますます困難になっています。米国陸軍の元大将で、イェール大学ジャクソン国際問題研究所のシニアフェローであるスタンレー・マクリスタル氏は、現代の戦争に関連して次のように述べています。「ネットワーク化された敵に勝つためには、我々自身がネットワークにならなければならない」。
第四次産業革命がもたらす超接続型の世界で繁栄するためには、取締役会とその企業が必要とする文化的変革を成功裏に管理しなければなりませんが、それは単独では成し遂げられません。取締役会は企業文化を形作るものであり、トップからの姿勢として「パートナーシップの築き方」を示す必要があります。これは、他社や業界全体の同業者と積極的に協働し、ベストガバナンス慣行を共に策定・共有することを意味します。
また、政府のリーダーと連携し、経営陣にもそれを確実に行わせることも意味します。一部の企業にとっては、「新たな提携」、例えば「信頼の憲章」や「サイバーセキュリティ技術協定」に見られるように、サイバーセキュリティ協力の新たなグローバル体制の一部となることさえ求められるかもしれません。これらの枠組みには世界中の数百社が参加しています。今後、サイバーリスクが高まる時代において、協力こそが成功の鍵となるでしょう。
本記事は、世界経済フォーラムの年次総会（2020年1月21日～24日、スイス・ダボス＝クロスターズ）に関連しています。
