サイバーセキュリティはもはや、IT部門やコンプライアンス担当の幹部だけが扱う問題ではありません。取締役会の全メンバーに影響する問題です。
SECはサイバーセキュリティの開示要件を強化しており、取締役会はサイバーリスクとその対応について十分な情報を得て、認識を深める必要があります。
新しいNACDサイバーリスク報告サービスは、企業が規制上の責務とリアルタイムのサイバーリスクに対応するうえで役立ちます。
米国証券取引委員会（SEC）の新たな規則策定により、サイバーリスク報告と事業レジリエンス計画は、効果的な取締役会ガバナンスの重要な要素となっています。今年初め、SECはサイバーリスクへの対応に向けてリスク管理とガバナンスを推進する、サイバーセキュリティ開示規則案を公表しました。
SECによると、「SECは、1934年証券取引所法の報告要件の対象となる上場企業による、サイバーセキュリティのリスク管理、戦略、ガバナンス、およびサイバーセキュリティ・インシデント報告に関する開示を強化し、標準化する規則を提案しています。具体的には、重大なサイバーセキュリティ・インシデントについて適時に報告することを義務付ける改正を提案しています。また、登録企業のサイバーセキュリティリスクを特定・管理するための方針と手順、これらの方針と手順の実施における経営陣の役割、取締役会にサイバーセキュリティの専門知識がある場合はその内容、およびサイバーセキュリティリスクに対する取締役会の監督について、定期的に開示することも求める提案です。」
サイバーセキュリティ：取締役会の責務
こうした最近の動きにより、米国の上場企業全体で、サイバーリスクとインシデントの管理および開示への注目が高まっています。また、最も重大な財務、事業、業務上の影響をもたらすサイバーリスクに資源と投資を充てるため、取締役会全体でリスク管理、事業レジリエンス、ガバナンスの取り組みを前進させる重要性も浮き彫りになっています。
世界経済フォーラムと全米取締役協会（NACD）による「サイバーリスクに関する取締役会ガバナンス原則」インサイト報告書は、サイバーリスクがもたらし得る財務的影響を踏まえ、この問題は取締役会レベルで積極的に取り組む必要があると指摘しています。
規制当局の注目が高まるなか、取締役会は、サイバーセキュリティリスクに割り当てる予算が、潜在的な影響を効果的に軽減できるよう整合していることを確認する必要があります。事業への影響を踏まえずにセキュリティ予算を決める時代は終わりました。
世界経済フォーラムはサイバーセキュリティにどう取り組んでいるのでしょうか？
サイバーセキュリティ・センターは、リーダーたちが集い、変化するサイバーリスクとそのシステム全体への影響を理解するための、信頼できるプラットフォームを提供しています。相互接続がますます進むデジタル世界で、理解と信頼を築くことに重点を置いています。
セクターを越えた協力と知見の共有を促すことで、同センターはパートナーのサイバーレジリエンス強化を支援し、集団的な対応を必要とする課題に取り組んでいます。
コミュニケーションの重要性
効果的なコミュニケーションは、事業で良い成果を得るための礎です。サイバーリスクという複雑な課題について話し合うための共通言語を築くことは、事業レジリエンスの実現に不可欠です。そのためには、細かな意味合いを持つセキュリティ用語が並ぶ難解で技術的な議論を、理解しやすい財務エクスポージャー分析へと整理する必要があります。そうすることで、サイバー攻撃が短期的および長期的に組織の財務を脅かす可能性が明らかになります。
取締役会メンバーがサイバー分野で技術の専門家になる必要はありません（技術への理解が役立つ場合はあります）。サイバーを事業上の重大な財務リスクと捉え、事業に重大な影響を及ぼす可能性を理解する必要があります。
これにより、サイバーセキュリティをめぐる技術的な議論を、事業レジリエンスを確立するための措置へとつなげる監督が可能になります。取締役会は継続的に、経営陣が戦略を策定し、予算を整合させて、リスク軽減と財務エクスポージャーの縮小を示せるようにすることで、効果的な監督を行えます。
サイバーレジリエンス計画を策定する際、取締役会は経営陣に次のような質問をするとよいでしょう。
サイバー脅威による財務上の潜在的なエクスポージャーはどの程度か？
当社の事業に大きな財務的影響を及ぼす可能性が最も高いサイバー脅威は何か？
企業全体とデジタルサプライヤーのエコシステムを通じて、どの程度の財務エクスポージャーを許容するのか？
サイバーリスクへのエクスポージャーに対処するため、予算をどう整合させ、管理策を実施し、戦略を策定し、リスク移転を最適化できるか？
当社のデジタル施策は、サイバーレジリエンスを考慮して開発されているか？
サイバーリスクは経営幹部全員で話し合うべき課題
SECの元上級サイバーセキュリティ顧問で、ナスダック・センター・フォー・ボード・エクセレンスのインサイト評議会メンバーであるクリス・ヘトナー氏は、次のように述べています。「サイバーリスクに伴う財務および事業への影響を最も効果的に軽減する方法に関する議論を、取締役会が継続的にサイバーリスク管理に取り入れることが不可欠です。この議論は最高情報責任者（CIO）や最高情報セキュリティ責任者（CISO）だけのものではありません。最高財務責任者（CFO）と法務顧問が主導すべき、経営幹部全体に関わる議論です。」
ヘトナー氏は、サイバーセキュリティが取締役会に印象を残せない状況はもはや続かないとし、次のように述べています。「経営幹部は、技術的なセキュリティ課題に対処する技術ソリューションを正当化するため、定期的な戦術・技術報告に頼りがちです。」さらに、「取締役会メンバーや経営幹部と話す際、サイバーセキュリティの話が正しく伝わらないことがあまりにも多くあります。その結果、リーダーたちは資金を何に充てているのか、どこに未解消のギャップが残っているのかを正確に把握できません」と付け加えています。
クリス氏とNACDは最近、取締役会がサイバーリスクへのエクスポージャーをより効果的に監督できるよう支援する画期的なサービスの立ち上げを後援しました。X-AnalyticsとNACDのサイバーリスク報告サービスは年額制のサブスクリプションサービスで、組織のサイバーリスクに起因する財務エクスポージャーを明らかにする取締役会向け四半期報告書を提供します。このプラットフォームは、サイバー保険業界のリーダーたちが使用するものと同じ分析を活用しています。
この新しいNACDのサービスは、サイバーリスクをめぐる経営幹部全体の議論を促し、サイバーセキュリティの技術的側面にとどまらない話し合いに取締役会が参加できるよう支援します。
サイバーリスク管理は、事業レジリエンスを確保するために企業全体が取り組むチームスポーツです。その実現には、包括的なメッセージの発信と協力を支える全体的な分析が欠かせません。CISOは企業のサイバーレジリエンス戦略の重要な担い手ですが、もはやサイバー分野の唯一の担い手ではありません。企業のリスク管理を担うすべてのリーダーを含めた、より包括的なメッセージと協力が求められます。
SECの新規則は、経営幹部と取締役会の有意義な関与を促すことを目指しています。こうした最近の動きにより、米国SECに報告義務を負う上場企業によるサイバーリスクとインシデントの開示への注目が高まっています。また、最も重大な財務、事業、業務上の影響をもたらすサイバーリスクに資源と投資を充てるため、取締役会全体でリスク管理とガバナンスの取り組みを前進させる重要性も浮き彫りになっています。
