一見すると、リヒタースケールで7.8を記録する地震は、0と1が不可解に入り混じるサイバー攻撃とはまったく別の宇宙に属しているように思えるかもしれない。自然がリスク事象を引き起こせば、ほぼ即座にそれを認識できる。しかし、ハッカーが企業のITシステムに侵入していること、あるいは社員が機密情報を含むノートパソコンを紛失したことに気づくまでには、数週間、場合によっては数カ月が経過することもある。（Ponemon Institute社の「2015 Cost of Data Breach Study」による最新の数値：ハッカーによるセキュリティ侵害の発見には平均256日、人的ミスの特定には158日。）
とはいえ、すべてのリスクがある程度相互に関連しているのであれば、その管理、軽減、ベストプラクティスにも共通点があると考えるのは理にかなっている。そうした共通点を見極めることは、比較的新しい取り組みであり、参照できる歴史も限られているサイバーリスク管理において、特に有益となりうる。
「リスク管理の世界は、さまざまな分野の知見を応用することで広がりつつあります」と、Zurich Insurance Group（Zurich）のGlobal Corporate部門チーフ・リスク・オフィサーであるJohn Scottは語る。「今日、テクノロジーは非常に広く普及しており、組織内の他のあらゆる領域を実質的に覆っています。そのため、リスクもまた同様です。サイバーリスクを単独の箱の中だけで見ることはできません。サイバーリスクを他のリスク分野と並行して検討することで、多くのことを学べます。」
具体性という視点
カーネギーメロン大学のSoftware Engineering InstituteのJames CebulaとLisa Youngは、オペレーショナル・サイバーセキュリティ・リスクの分類に関する論文において、4つのクラスを挙げている。すなわち、人の行動、システムおよび技術の障害、内部プロセスの失敗、外部事象である。これらはそれぞれさらに下位分類されており、例えば外部事象には火災や自然災害、規制遵守、サプライヤーの障害、エネルギー供給などが含まれる。これらは必ずしも、サイバーリスクを考える際にまず思い浮かぶものではない。
Zurichのプリンシパル・リスク・エンジニアであり、自然災害のサイト評価を実施しているAmar Rahmanは、この認識のずれが、顧客の保護と備えを支援するうえで重要な障壁になりうることを明らかにしている。
「サイトアセスメントを行う際、サイトの管理者が自然災害を物理的に経験したことがなければ、そのリスクの認識は非常に低くなります」とRahmanは語る。「サイバーリスクについても同様です。朝にすべてが稼働していれば、いつもどおりの業務日だと考えてしまいます。どちらの場合も、リスクの具体性について考えることが重要です。例えばサイトアセスメントでは、通常、主な焦点は火災リスクに置かれます。火災の燃焼源や引き金となるものと、関連する防護システムは、いずれも具体的に把握できるからです。自然災害やサイバーリスクでは、その結果を具体的に想像することが重要です。嵐によって事業を遂行する能力が実際に損なわれ、顧客が必要とするものを合理的な時間内に提供できなければ、顧客を失うこともあるかもしれません。サイバーリスクを、事業運営への影響と、その結果として生じる顧客の喪失という観点から考えれば、それがどれほど深刻であるかをより具体的に実感できるでしょう。」
基本原則
データやその他の機密情報を保護することは、サイバーリスク管理の大きな側面であり、その点では、もはや古い話に見えるかもしれない他のリスクから学べることがある。ある世界的データ企業のチーフ・リスク・オフィサー（CRO）は、次のように指摘する。「機密情報を含む書類を守ることを懸念していた時代を振り返ると、情報の記録方法の物理的な性質は変わりましたが、デジタルデータとそこへのアクセスを守るためのリスク管理の前提は、今も馴染みのあるものです。」
彼によれば、サイバーデータのリスクをこの文脈の中で捉えることが役立つという。ある文書が金庫に施錠するに値するものであったなら、今日ではそれを暗号化すべきである。適切な目に触れた後にシュレッダーにかける必要があった文書は、今日ではデジタル的に消去できる。
「企業としてリスクをどのように評価するか、つまりその下流への影響を理解するという点は、サイバーリスクにも当てはまります」とCROは語る。「サイバーは他のリスク管理分野が成熟してきたよりも速く、早く成熟しつつありますが、それらの多くの間の相関関係は、今でも非常によく似ています。」
サイバーリスク管理は絶えず動く標的を狙うものであり、それは企業にとって深刻な課題を生むが、単純化しすぎてはならない。しかし、サイバーリスクを検討する際に、車輪を一から発明し直す必要はまったくない。Scottによれば、リスク管理の基本原則は優先順位付けである。優先順位付けには、自社のリスク選好を理解していることが前提として含まれる。
「優先順位付けをする際、あなたは『どの程度のリスクであれば許容できるか？』と考えています」とScottは語る。「非常に影響の小さな問題、つまり毎日起きていても組織の業務を妨げない程度の些細な出来事もあるでしょう。中程度の影響があり、継続的に発生しているものもあるかもしれません。リスク選好が、例えばSix Sigmaのような品質重視の手法への志向として表れている場合、この低影響・高頻度の事象を管理したいと考えるかもしれませんし、そうでなければ、管理しないかもしれません。同様に、より影響の大きいリスクについても、選好があるかどうかは分かれるでしょう。いずれにしても、常に文脈があり、費用対効果分析を検討する必要があります。」
サイバーリスクを優先順位付けする際、他のリスクとの共通点がもう一つ明らかになる。サイバーリスクは企業ごとに異なるのだ。機密性の高い消費者情報を保有する企業は、銀行口座へのアクセスを狙うハッカーにとって魅力的な標的となる。そうした企業のリスク選好は低く、積極的に対処すべきであると考えるのは当然だが、ほぼゼロに近いリスク選好の例もある。例えば、国家安全保障に関わる案件に携わる防衛請負企業は、「サイバーリスクの管理にあたり、非常に極端な手法を取る可能性があります」とScottは語る。「例えば、IT業界でエアギャップと呼ばれるものを設けることがあります。これは、高価値データを保有するコンピュータを、物理的に安全な建物の中で互いにのみ接続し、インターネットを含め他のいかなるものにも接続しないように隔離することを意味します。組織の種類やリスク・脅威の性質に応じて、取りうるアプローチはさまざまです。他のリスクを特定し軽減するために構築されたシステムこそが、サイバーリスクにも同じことを行う方法について、最も多くを教えてくれるものかもしれません。」
本記事は、 Zurich Knowledge Hubとの協力により掲載されたものです。掲載は世界経済フォーラムによる見解の是認を意味するものではありません。
The Agendaの最新情報を受け取るには、 週刊ニュースレターにご登録ください。
執筆者：John Scottは Zurich のチーフ・リスク・オフィサーである。Amar Rahmanは Zurich のプリンシパル・リスク・エンジニアである。
画像：ノートパソコンを手にした男性の上に、二進法のコードが投影されている様子を描いたイラスト。REUTERS
