世界はデジタル化を進めていますが、グローバルなデジタルフローの時代において、企業は強固なサイバー能力を構築しなければなりません。
明確で頻繁なコミュニケーションは不可欠ですが、企業のサイバーセキュリティプログラムには、その多くが欠けています。
セキュリティの専門家が、組織内外の重要なステークホルダーとのより強固な関係を築く方法をご紹介します。
世界はデジタル化へと進んでおり、国境を越えたほぼすべての種類のビジネス取引にデジタル的な要素が含まれるようになっています。企業によるデジタル技術の活用により、顧客やビジネスパートナーとの新たな関係や、新たなビジネスの機会が広がっています。
しかし、最近の見出しが明らかにしたように、外部世界とつながるという行為そのものが、プロジェクトの失敗、データ漏えい、あるいはそれ以上の事態のリスクを、飛躍的に高めています。
グローバルなデジタルフローの時代において、企業は強固なサイバーセキュリティ能力を構築するため、考えうるあらゆる手段を講じなければなりません。保護戦略は、技術的な管理策や是正計画のみに焦点を当てるべきではありません。
企業は人的要素にも目を向けなければなりません。サイバーセキュリティが時折の懸念事項ではなく、組織の内外を問わず、あらゆる階層の中核的なビジネスステークホルダーにとっての日常的な業務となる、デジタルレジリエンスの高い企業文化を築くよう努めなければなりません。
しかし、サイバーセキュリティの信頼ギャップは、企業のエコシステム全体の多くのレベルに存在しています。以下に、4つの主要なギャップと、その対処方法をご紹介します。
信頼ギャップ1：取締役会と経営陣（Cスイート）
取締役と上級管理職チームの関係は、さまざまな理由から緊張をはらむことがありますが、その中でも真っ先に挙げられるのは、多くの取締役会の議題において、サイバーセキュリティが通常は上位項目になっていないことです。取り上げられる場合でも、多くはIT課題に関する大きな議論の一部として提示されるか、そもそも言及されないことさえあります。
多くの取締役は、標準的な財務・業務事項に比べて、サイバーセキュリティの技術や課題について知識が乏しい傾向があります。ただし、最近の企業や政府のセキュリティ侵害に関する報道は別です。取締役は、企業のサイバーセキュリティプログラムについての疑問を抱いて会議に臨みます。
解決策：共通の理解を見いだす
経営陣（Cスイート）は、取締役との間でより高い透明性を確保し、より強固なコミュニケーションを築く必要があります。上級リーダーは、サイバーセキュリティプログラムの成熟度を定期的に正式に評価し、少なくとも年1回、できればさらに高い頻度で、その結果を取締役会に報告すべきです。
この取り組みには、上級リーダーチームのメンバー、およびITやビジネス部門の関係者が、主要な企業資産に対する攻撃の深刻度と発生可能性を体系的に検討することが含まれるべきです。例えば、内部および外部のどの脅威が最も大きいのか、また、どのようなビジネス価値が危険にさらされているのか、といった点です。
信頼ギャップ2：事業部門とIT組織
事業部門、IT組織、サイバーセキュリティ機能の個人間における信頼に基づく関係は、維持することが難しい場合があります。これは、これらの部門が時に相反する目標のもとで業務を行っていることも一因です。
サイバーセキュリティチームが、事業部門の従業員にとって不都合な安全プロトコルを課したり、日常業務を妨げたりすることがあります。こうした不満は、個人のレベルから事業部門のレベルへとエスカレートしかねません。
解決策：研修の取り組みを強化する
組織は、ITおよびサイバーセキュリティ機能と事業部門との間の信頼ギャップを埋めるために、あらゆる階層の従業員に包括的なサイバーセキュリティ研修を提供することができます。
これには、専用のタウンホールミーティング、ワークショップ、さまざまな種類のサイバー脅威の特定と、従業員が不審な活動を目撃した際の適切な対応策の概要に焦点を当てた研修モジュールなどが含まれる可能性があります。このような研修は、事業部門の従業員がサイバーセキュリティプロトコルの根拠を理解し、その意識を高めるのに役立ちます。
結局のところ、サイバーセキュリティは共有の責任なのです。
信頼ギャップ3：企業とそのベンダー
企業と、そのテクノロジーおよびサプライチェーンのベンダーとの関係は、常に複雑なものでした。消費者が自らのデータの安全を確保し、許可された目的にのみデータを利用してもらうために企業を信頼するのと同様に、企業もまた、競争上の機密情報を厳重に管理してもらうために、ITおよびサプライチェーンのベンダーを信頼しなければなりません。
例えば、自動車メーカーは、相手先ブランド製造業者（OEM）が、共有する知的財産を保護するための十分なサイバーセキュリティ管理策を備えていることを確信する必要があります。これは、ITインフラストラクチャやサイバーセキュリティ業務の管理を外部委託する企業がますます増えている現在において、特に当てはまります。
解決策：パートナーとの距離を縮める
この信頼ギャップを埋めるため、企業のITおよびビジネスのリーダーは、ベンダーやサプライチェーンのパートナーと定期的に対話の場を設け、共有するビジネス情報を保護するために必要なセキュリティ水準を明確に伝えるべきです。
このような会議は、四半期ごとまたは半年ごとに開催されるべきです。頻繁に接触することで、ベンダーと企業の担当者は、単なる取引関係ではなく、真のビジネスパートナーシップを築くことができます。また、明確な復旧計画や補償計画について協議し、策定することも可能になります。
信頼ギャップ4：企業と政府
近年、地方、国家、連邦の各政府が、民間企業に対してサイバーセキュリティ問題への認識を高め、データ保護の取り組みをより積極的に進めるよう促していることは、驚くことではありません。
主要な金融機関へのサイバー攻撃は、市場全体の安定性に影響を及ぼす可能性があります。エネルギー網へのハッキングも、同様に国家的な脅威となり得ます。これは、最近の米国における12か所の発電所への侵入未遂事件から得た教訓です。最近の米国における12か所の発電所への侵入未遂事件。
政府機関は、より広範な保護の取り組みを強化するため、企業がサイバー攻撃やその他のインシデントを適時に報告することを必要としています。
解決策：全体像を捉える
どちらの側も、サイバー攻撃に単独で立ち向かうことはできません。企業は、サイバーセキュリティの調査や機密情報の議論を円滑に進める役割として、政府機関が与えることのできる公的な承認と信頼性を必要としています。政府は、民間企業が提供できるフィードバックや技術的資源を必要としています。
サイバーセキュリティの向上に必要な信頼の文化
技術だけでは、サイバー攻撃者を食い止めることはできません。企業のサイバーセキュリティ施策を成功させるには、信頼の文化も重要です。取締役、ITリーダー、ビジネスパーソン、ベンダーなど、企業のエコシステムに関わるすべてのステークホルダーが、企業のリスクについて相互理解を深め、それらのリスクに対処するための最善のアプローチを決定するために協力しなければなりません。
フォーラムは、世界的なサイバーセキュリティの課題にどのように取り組んでいるのでしょうか？
サイバーセキュリティセンターは、進化するサイバーリスクとその体系的な影響を理解するために、リーダーが集まる信頼できるプラットフォームを提供しています。増大する相互接続されたデジタル社会において、理解と信頼を築くことに重点を置いています。
センターは、分野横断的な協力と知見の共有を可能にすることで、パートナーがサイバーレジリエンスを強化し、集団的な対応を必要とする課題に対処できるよう支援しています。
ご存じの通り、このレベルの合意と信頼を獲得し、維持することは困難な場合があります。特に、データ保護の取り組みに内在する自然な緊張関係が原因となることがあります。サイバーセキュリティチームの日々の業務は事業に影響を及ぼし、その逆もまた然りです。
しかし、企業がサイバーセキュリティにおける人的側面を認識し、透明性を高めることで信頼ギャップを埋める措置を講じれば、サイバーセキュリティプログラムが成功する可能性を高めることができます。それは短期的にだけでなく、どのような脅威が出現しようとも、長期的にわたって成功する可能性を高めることにつながります。
