多くの組織が直面しているものの、十分に認識されていない課題の一つは、サイバーセキュリティ上の懸念を、実質的なガバナンス上の議論や取締役会の意思決定につなげる方法です。
サイバーセキュリティに関する議論を形作るのに役立つ、相互に補完する3つの視点は、サイバーセキュリティの成熟度、サイバーリスク許容度、そして現在のサイバーセキュリティリスクです。
目指すのは、取締役会の経験、視点、判断が今後の展開を形作れる対話を生み出すことです。
先日、取締役会にサイバーセキュリティの状況を説明しました。その後の議論を通じて、期待していた成果が得られたと確認できました。最も重要なリスクは何か、また取締役会がどこで価値を発揮できるかについて、実りある対話が生まれたのです。
その後数週間のうちに、私はこのアプローチを数十人の最高情報セキュリティ責任者（CISO）と共有しました。彼らの反応を受け、多くの組織が同じ課題に直面していること、すなわち取締役会への報告を実質的なガバナンス上の議論につなげる方法について書こうと思いました。
以下に紹介するのは、私たちにとって効果的だったアプローチです。取締役会と関わる方法はこれだけではありませんが、すべてのCISOが望むような議論を生み出すのに役立ちました。
自社を取り巻くリスク環境から始める
サイバーセキュリティ企業にとって、状況を踏まえることが重要です。私たちは顧客のサプライチェーンの一部です。機微な脅威インテリジェンスを保有しています。ソースコードは戦略的な知的財産です。何より重要なのは、顧客が自社の事業を守るために私たちを信頼していることです。
したがって、サイバーセキュリティ企業への攻撃が成功すれば、その組織自体だけでなく、より広範なエコシステム全体の信頼にも影響を及ぼす可能性があります。
その環境はますます厳しさを増しています。地政学的緊張がサイバー活動を変化させ続ける一方、人工知能（AI）によって、高度な攻撃の実行に必要な時間、専門知識、リソースが大幅に減少しています。
チェック・ポイント・リサーチの『Annual AI Security Report 2026』は、こうした変化がすでにどこまで進んでいるかを示しています。AIは攻撃者を補助する段階から、侵入を直接実行する段階へと進み、記録された事例の中には、人間の指示をほとんど受けずに脆弱性を悪用する手順を実行したものもあります。
一方、脆弱性の公表から悪用までの期間は、数日から数時間へと短縮されています。こうした変化が相まって、サイバーリスクの規模と速度の両方が変わりつつあります。
この状況を出発点として議論することで、リスクへの対応方法を話し合う前に、環境について共通認識を築くことができました。
サイバーセキュリティのガバナンスを議論する3つの方法
私は、相互に補完する3つの視点を軸に議論を組み立てると有効だと感じました。すなわち、サイバーセキュリティの成熟度、サイバーリスク許容度、そしてその時点で取締役会の注意を要するサイバーセキュリティリスクです。
これらは互いに競合するアプローチではありません。それぞれが取締役会の議論に異なるものをもたらします。
1. サイバーセキュリティの成熟度
成熟度評価は、米国国立標準技術研究所（NIST）の枠組みに基づくことが多く、ガバナンス、保護、検知、対応、復旧に関する基礎的な能力が整備され、継続的に改善されているかを示します。
これはすべての取締役会での議論に欠かせない要素だと考えています。ただし、成熟度は指標であって、結論ではありません。
成熟度が十分に高いと評価されれば、組織が適切なサイバーセキュリティの基盤を構築しているという確信を取締役会に与えられます。同時に、それだけでは、取締役会が把握する必要のある別の問い、つまり、そうした能力が現在事業の直面するサイバーセキュリティリスクに適切に対処できているかには、必ずしも答えられません。
2. サイバーリスク許容度
サイバーリスク許容度も、ガバナンスにおける有用な概念です。
特に、財務リスク管理の仕組みが成熟した組織では、サイバーリスクへのエクスポージャーを示し、投資判断を支える効果的な方法となります。
しかし私たちの場合、ソースコード、顧客からの信頼、戦略的な評判といった最も重要な資産の一部は、意味のある形で正確な金銭的価値に換算できません。
私にとってリスク許容度は、プレゼンテーションの構成原理とするよりも、許容できるリスクと許容できないリスクについての議論を組み立てる方法として最も有用でした。
3. 現在のサイバーセキュリティリスク
議論そのものは、その時点で取締役会の注意を要するサイバーセキュリティリスクを軸に構成しました。
時間をかけて着実に変化する成熟度とは異なり、取締役会が注目すべきサイバーセキュリティリスクは絶えず変化します。新しい技術、新しい攻撃手法、事業の変化によって、経営陣と取締役会が注力すべき分野は常に変わります。
その明確な例が、AIによる変革の初期段階で、関連するリスクへの理解が深まった後に起きました。リスクが明らかになったからといって後退するのではなく、複数の取締役が議論を別の方向に進めました。安全に実施できるのであれば、変革を加速するよう求めたのです。
リスクを抑え込むことから、戦略上の優先事項を積極的に実現することへと転換したこの出来事は、それ以降の取り組み方を形作りました。
それぞれのリスクについて、次の7つの一貫した問いに答えました。
リスクとは何か。
なぜそれが自社の事業にとって重要なのか。
事業への影響として何が考えられるか。
リスクへのエクスポージャーを減らすため、何をしているか。
どのような進展があったか。
どのような不確実性や残存リスクがあるか。
取締役会の視点、問題提起、支援が最も価値を発揮するのはどこか。
このように議論の焦点を定めることで、その性質が変わりました。統制やセキュリティプロジェクトの確認に時間を費やす代わりに、優先事項、前提、実行の速度、トレードオフに焦点が当たりました。取締役会は私たちの考えに異議を唱え、優先事項を検証し、最も重要なリスクに注力できるよう支援してくれました。
議論の質で成果を測る
このアプローチが機能したことを最も明確に示すのは、先述のAIによる変革の場面です。取締役会は提示されたリスクに反応しただけでなく、問いそのものをすっかり組み替えました。
自社を取り巻くリスク環境を踏まえ、サイバーセキュリティの基盤への確信を示し、その時点で注意を要するリスクに焦点を当てたことで、経営陣と取締役会の双方にとって、より意義のある議論になりました。
私たちにとって効果的だったのは、このアプローチです。取締役会向けプレゼンテーションの最良の評価基準は、どれだけ多くの内容を扱ったかではなく、報告から判断へと議論をどれだけ進められたかです。取締役会の経験と視点が、今後の展開を実際に形作れる議論になったかどうかが重要です。
