高度なデジタル社会では、組織が効果的な対策を講じるために、サイバーセキュリティを深く理解する必要があります。
サイバーリスクは刻々と変化するため、取締役会は潜在的な影響を軽減するために、多面的なアプローチを取らなければなりません。
MIT CAMSなどの探索型・双方向型の技術ソリューションを通じて、リーダーはサイバーリスク管理の見通しを高めることができます。
私たちは高度なデジタル社会に生きており、強力なネットワークや相互接続性の高まり、eヘルス、スマートシティ、第4次産業革命といった高度に自動化された概念がますます重要な役割を担うなか、技術の発展は急速に進んでいます。
こうした技術の普及により、サイバーセキュリティは、社会が正常に機能するための極めて重要かつ必要性が高まる前提条件となっています。
新たなデジタル社会において、企業リーダーにはサイバーリスクを適切に評価し管理することが求められています。また、経営上の意思決定者が効果的な対策を講じるには、サイバーリスクの概念や課題を十分に理解する必要があります。
しかし、サイバーリスクの変動性とサイバー攻撃の指数関数的な増加は、意思決定に課題をもたらす可能性があります。
この課題に対応するため、世界経済フォーラムはパートナーとともに、全米企業取締役協会（NACD）、インターネット・セキュリティ・アライアンス（ISA）、PwCとの協力のもと、6つのサイバーリスクに関する取締役会ガバナンスの原則を発表しました。これにより、組織がサイバーリスクに関連する戦略上・運用上の選択肢をより適切に管理し、その進め方を理解できるようにします。
この指針の重要な原則の一つは、取締役会がイノベーション、合併・買収、製品開発など、あらゆる意思決定において「サイバーリスク管理を事業ニーズに合わせる」ことです。
サイバーリスクへの曝露は、評判と顧客の信頼を脅かす
リーダーはサイバーリスク管理において、日常的に難しい決断を迫られます。サイバーリスクにさらされると、評判や顧客の信頼、競争上の地位が脅かされ、罰金や訴訟につながる可能性もあります。
この状況でリーダーは、組織の優先事項の変化、予算や技術、人員数の変動に加え、攻撃者の手口の進化や新たなセキュリティ事象などにも、同時に対処しなければなりません。
こうした複雑さ全体を、サイバーリスクの変動性と呼びます。
しかし、経営上の意思決定者は、サイバーリスクの問題に対処する際、その複雑さや行動を迫られるプレッシャーに圧倒されることが多く、そのような状況ではセキュリティ上の盲点が生じるリスクがあります。
科学的研究によると、経験豊富なセキュリティ専門家や管理職の56%が最適とは言えない意思決定をしており、そうした判断によってコストベースが最大200%高くなる可能性があります。
企業リーダーや経営幹部が持続可能なサイバーセキュリティおよびサイバーレジリエンス戦略を策定・実施するうえで、支援となる手法は数多くあります。
たとえば、NISTサイバーセキュリティフレームワーク、C2M2、ISO 27001など、業界で認知された枠組みを用いた定期的なリスク評価や、サイバー事象のシミュレーションと演習の実施が挙げられます。
リスク評価とは、サイバーリスクを特定し、リスクが発生した場合の影響を評価するプロセスです。
サイバー事象のシミュレーションと演習は、管理された方法でサイバー攻撃を模擬する手法です。多くの場合、机上演習や、承認済みの事前定義された攻撃を防御側のインフラに対して実施する形で行われます。
こうした活動はサイバーリスク管理の基準を確立するうえで役立ちますが、サイバーリスクの変動性は捉えられません。最も適切に表現すれば、一次元的なアプローチであり、その結果、意思決定者はリスクを過小評価しがちです。
こうした活動は、最も高度な形ではほぼリアルタイムの状況を把握できます。一方、企業リーダーや経営幹部には、自らの意図する意思決定が将来どのような結果をもたらすかを知る必要もあります。
そのため、サイバーリスク管理には予測型の意思決定支援システムが必要です。こうしたシステムは、サイバーリスクの変動性などの多面的で動的な問題や、サイバー攻撃の指数関数的な増加などの非線形変数を扱い、管理対象となる組織を表現できなければなりません。
将来を見据えたサイバーリスク管理の意思決定支援システム
MIT CAMSは、サイバーリスクの変動性を捉えるソリューションが不足していたことを受け、組織のサイバーセキュリティ戦略に関わる複数の重要業績指標について、将来を見据えた予測を立てるためのサイバーリスクダッシュボードを開発しました。
MIT CAMSのダッシュボードは、科学的根拠に基づく計算モデルを活用し、サイバーリスクの変動性を考慮します。シミュレーションは制御理論に基づき、微分方程式によって定められたストックとフローを用いて、組織における人材、プロセス、技術の働きを表現します。
さまざまなセキュリティ対策の動的な効果と相互依存性を考慮することで、戦略的かつ効果的なサイバーリスク管理の意思決定を可能にします。
このダッシュボードは、リーダーが大規模な投資を行う前に意思決定の影響をシミュレーションできる、非常に革新的なアプローチを重視しています。優先順位付けにあたり、組織がどの領域の最適化を望んでいるかを見極めるために活用されます。
CAMSダッシュボードを活用した匿名の探索的ケーススタディが、Smart Wealth Management Inc.というフォーチュン500企業で実施されました。
ケーススタディでは、リソース配分や予算の優先順位付けといった一般的な経営課題を分析の手がかりとして選び、それらがサイバーリスク管理の意思決定や、より広範なサイバーセキュリティ戦略に与える影響を検討しました。
これは、CAMSダッシュボードが、安全で隔離されたテスト環境、すなわちサンドボックスで、現実の意思決定環境を模擬するためです。これによりリーダーは、組織に実際のサイバー上の影響を及ぼすことなく、幅広い戦略的決定を探り、試すことができます。
不適切なサイバーリスク管理は組織に悪影響を及ぼす可能性がある
ケーススタディから得られた重要な教訓の一つは、不適切なサイバーリスク管理の意思決定が組織全体に影響し、機能不全に陥らせる可能性があるということです。効果的な介入には、意思決定同士のつながりや、組織内にあるさまざまな仕組みや部門間の相互作用を考慮する必要があります。
もう一つの重要な教訓は、CAMSダッシュボードによって従来のアプローチを拡張できるということです。
このケーススタディでは、Smart Wealth Managementがすでに保有していたサイバーリスク報告書と評価結果を用いて、シミュレーションと分析のモデルパラメーターを設定しました。
このアプローチは、経営幹部に次のような持続的な利点をもたらします。
組織に固有のシミュレーションを通じて、戦略的選択が現実のなかでどのように展開するかを可視化できる。
戦略的選択が、組織のリスク許容度の維持にどう役立つかを確認できる。
迅速なリスク対応を確保するため、サイバー関連予算とリソース配分の優先順位を決められる。
サイバーリスク管理の意思決定による便益を最大化する、直感に反する戦略を特定できる。
経営幹部にはサイバーリスクの管理と軽減に向けたさらなる取り組みが必要
サイバー攻撃の指数関数的な増加が続くなか、経営上の意思決定者には、常に先手を打つことが一層求められています。
事後対応は非常に高くつくうえ、事後の規制当局による評価や制裁の必要性を高める可能性があります。サイバーリスクが動的な性質を持つことを認識し、理解した今、私たちは行動を起こさなければなりません。
世界経済フォーラムはサイバーセキュリティにどう取り組んでいるのか？
サイバーセキュリティセンターは、リーダーが集い、進化するサイバーリスクとそのシステム全体への影響を理解するための、信頼できるプラットフォームを提供しています。相互接続性が高まるデジタル世界において、理解と信頼の構築に取り組んでいます。
分野を超えた協力と知見の共有を促進することで、同センターはパートナーのサイバーレジリエンス強化を支援し、集団的な対応が必要な課題への取り組みを後押ししています。
探索型・双方向型の技術ソリューションを通じて、リーダーはサイバーリスクの経済的側面を管理し、事業ニーズとの整合を図るための見通しを高めることができます。
CAMSダッシュボードは、この方向性を示す代表的な例です。
本事業は、”Fondo Europeo di Sviluppo Regionale Puglia POR Puglia 2014 – 2020 – Asse I – Obiettivo specifico 1a – Azione 1.1 (RS) - Titolo Progetto: Suite prodotti Cybersecurity e SOC”およびBV TECH S.p.A.の共同資金提供を受けました。
本事業は、Cybersecurity at MIT Sloan（CAMS）の共同資金提供を受けています。
