サイバーセキュリティの脆弱性は、多くの組織にとって予見可能なリスクであり、そのため企業はサイバーレジリエンスを向上させる必要があります。
新たな脅威、技術の進歩と政治的緊張の結びつき、そしてレガシーシステムの保護における課題が組み合わさり、組織にとって複雑なリスクの軌跡をもたらしています。
サイバーレジリエンスは、4つの重要なステップを通じて向上させることができます。すなわち、効果のあるものを活用すること、サイバーガバナンスとサイバーレジリエントな文化を定着させること、そして設計がサイバーセキュリティを支えるようにすることです。
2023年、サイバーセキュリティ経済は世界全体の成長率の4倍の速さで拡大し、テクノロジー分野の成長をも上回りました。この成長は、業界におけるイノベーションと機会の急速な拡大を示しています。しかし、機会にはリスクも伴います。当然ながら、サイバーセキュリティの脆弱性は、世界経済フォーラムの「グローバルリスク報告書2024」の2024年版においても、2年および10年の時間軸の両方で、依然として主要なリスクの一つとして挙げられています。
脅威の規模と多様性が増大するなか、レジリエンスは何よりも重要です。フォーラムの新しい報告書である「グローバル・サイバーセキュリティ展望2024」が示すように、自らをサイバーレジリエントであると自信をもって称することができる組織はごくわずかです。さらに、サイバー脅威を生み出し、対抗する리스크と技術が増加するにつれて、十分な資源と技能を備えた大規模組織と中小企業との間の格差は広がりつつあります。
幸いなことに、企業がサイバーレジリエンスを向上させるためのいくつかの方法があり、これらを体系的に取り組めば、はるかに強固なサイバーエコシステムがもたらされます。
複雑な軌跡のサイバーレジリエンス
本報告書が明らかにしたところによると、この分野の健全性の状況は様々な側面を示しており、マルウェアなどの長年の脅威は、新たな多様なリスクとともに拡大し続けています。過去5年間で、世界の組織の少なくとも10%に侵入したマルウェアのファミリーとその亜種の数は2倍に増加しました。サイバーレジリエンスにおける不平等の拡大は、必要なツールや人材の高コスト、そしてこの分野の最大規模の組織による最先端技術の早期導入によって引き起こされており、これが前例のない課題をもたらしています。
これらは、業界全体での取り組みを必要とする複雑な問題です。残念ながら、同時に、他のリスクも出現したり変化したりしています。新興技術がその一例であり、特に生成AI（人工知能）の利用と開発の拡大が挙げられます。この進展により、フィッシングなど、防御側がすでに対処している手口を含め、攻撃の複雑性や敵対的な能力が高まっています。
2024年は、地政学的緊張によって悪化する恐れのある、厳しいリスク見通しとともに始まりました。当社の調査によると、サイバーリーダーの70%が、地政学的な懸念が組織のサイバーセキュリティ戦略に少なくとも中程度の影響を与えていると指摘しています。今年は、インド、英国、米国を含む45か国で総選挙が予定されており、これらを合わせると世界の国内総生産の50%を占めます。これにより、リスクプロファイルはさらに高まり、生成AIが偽情報、誤情報、ソーシャルメディアプラットフォームの操作といった既存の問題を悪化させることになります。
人材の不足
しかし、サイバー専門家が懸念しているのは新たなリスクだけではありません。当社の調査では、レガシーシステムや旧式技術の保護における課題が明らかになりました。これは、調査回答者の44%にとって、サイバーレジリエンスを達成する上で最大の障壁でした。
この分野における長年の課題は、技能と人材の不足であり、そしてそれは今も続いています。当社の報告書によると、このギャップが縮小するどころか、驚くべき速さで拡大しているということです。調査対象者のほぼ80%が、組織にはサイバーセキュリティの目標を達成するのに十分な技能を持つサイバーチームが不足していると明らかにしました。
これらの課題は、この分野の相互に結びついた性質を反映しており、サイバーエコシステム全体を根本から損なっています。しかし、希望はあります。必要とされる重要な転換は、サイバーレジリエンスの向上であり、当社の調査では、企業がそれを向上させるために講じることができる5つの具体的な対策が示されています。
レジリエンスは、段階を追って構築されます。強固な防御の体制を確保するには、多くの複合的な要素が必要であり、即効性のある解決策はありません。最初のステップは、サイバーリスクを優先することです。これは当然に思えるかもしれませんが、企業が直面する脅威の幅広さを考えると、サイバーリスクは議題から外れてしまうことがあります。しかし、組織がサイバーリスクを定期的に評価し、優先順位を付けることが極めて重要です。当社の調査では、この点において前向きな傾向が見られました。それは、サイバーレジリエンスを組織のリスク管理に組み込む慣行が、ますます一般的になっていることです。
レジリエンスの文化
この分野には経験豊富なサイバー専門家が多く、当社の調査で得られた最善の助言は、新たな技術リスクに直面してもなお、実績があり検証済みのサイバーレジリエンスの手法に引き続き注力する必要があるということでした。そうすることで、現場の人々は脅威を早期に検知し、軽減できることに気づいています。
これに伴うステップ2は、サイバーガバナンスの構築です。知見が蓄積されていくのは確かであり、多くの組織が慎重なサイバーレジリエンスの手法を実践し、成果を上げています。ベストプラクティスは共有され、組織の知識が育まれる必要があります。この点において、サイバーレジリエンスとCEOへの信頼は相互に補完し合う関係にあります。当社の調査では、回答者の93%が自社を業界のリーダーと見なし、サイバーリスクについて社外に向けて発言するCEOを信頼していることがわかりました。この結果は、経営幹部レベルでサイバー戦略や計画を支援することの重要性を強調しています。
3つ目のステップは、レジリエンスの文化を育むことの必要性です。定期的なトレーニングや意識向上は、組織文化を改善する上で極めて重要であり、関係者の合意形成も同様に重要です。組織の全員が、相互に結びついたデジタル経済から生じるリスクを理解しなければなりません。社内においては、企業は適切な優先事項、人材、技術、セキュリティツール、そして組織文化への公平なアクセスを確保するよう努めるべきです。社外においては、企業はパートナーと協力し、サプライチェーンリスクを確実に評価して対処しなければなりません。
これは、4つ目の要素である、システム全体のレジリエンスと協力の促進につながります。サイバーレジリエンスの指標には、協力関係の質と量が含まれます。この要素は、組織がサプライチェーンのサイバーリスクをどの程度理解しているかだけでなく、規制の明確さと有効性、そして、サイバー格付けやサイバー保険などの手段の利用しやすさと成熟度にも関わります。これらすべての分野で前向きな成果が得られれば、レジリエンスが生まれ、脆弱性とは対極の状態になります。
設計によるサイバーセキュリティ
最後に、組織は設計がサイバーレジリエンスを支えるようにしなければなりません。一般的に、利便性、新技術を活用して事業の見通しを加速させる機会、そして取り残されることへの恐れという人間の性質が組み合わさり、組織は慎重さに欠けるほど低いセキュリティで、新技術を急いで導入しようとする傾向があります。この課題に対処する一つの方法は、イノベーターに対する経済的インセンティブの構造を転換することです。
政府は、技術メーカーやサービスプロバイダーに対し、当初からセキュリティが組み込まれ、ライフサイクルを通じて安全に維持できる製品の開発を求めるケースが増えています。このようなセキュリティ・バイ・デザインは、欧州連合が提案しているサイバーレジリエンス法などのプログラムや規制にも反映されつつあり、この分野においてはさらなる取り組みが期待されています。
すべての兆候は、2024年もまた困難な年となることを示しています。しかし、実践を見直し、協力とベストプラクティスの共有を進めることで、前進は可能です。特に、課題は体系的なものであり、すべての利害関係者の協力と積極的な関与を確保する必要があることを示しています。その利点は、業界の課題やリスクに対処する勢いが全体として高まるにつれ、ますますレジリエントになるサイバーセキュリティ・エコシステムがすべての人にとって有益となることです。
