接続性の高まりにより、運用上のリスクが組織、サプライヤー、公共インフラをまたいでどのように広がるかが変わりつつある。
こうした変化に伴い、産業サイバーリスクの管理は、単一の組織にとどまらない広範な影響を持つレジリエンスの課題になりつつある。
この変化に対応するために役立ち得る、産業サイバーリスクを理解し管理する3つの方法がある。
産業システム（製造、エネルギー、輸送、鉱業などの事業環境で、デジタルシステムが物理的なプロセスを監視または制御する環境）は、かつては隔離された状態で設計されていた。今日では、それらはますます接続されつつあり、企業向けプラットフォーム、クラウド環境、サードパーティのエコシステムと結びついている。
産業の接続性がもはや効率化やデジタル化の推進にとどまらないため、これは重要である。接続性は、組織、サプライヤー、公共インフラをまたいで運用上のリスクが伝播する仕組みを変えつつある。かつては局所的な技術的インシデントとみなされていたものが、特に重要サービスが共通の制約の下で稼働する相互接続されたシステムに依存している場合、より広範な混乱へと発展しうる。
サイバーインシデントは現在、企業の境界を越えて広がるようにもなっている。物理的なプロセスや重要な国家サービスを混乱させ、分野をまたいだドミノ効果を引き起こしうる。接続の拡大に伴い、サイバーリスクの管理は、単一の組織にとどまらない広範な影響を持つレジリエンスの課題になりつつある。
企業レベルのエクスポージャーからシステミックリスクへ
産業システムは、エネルギー、輸送、製造などの重要サービスを支えている。デジタル面でも運用面でも、相互接続が進んでいる。情報技術（IT）は、運用技術（OT）と融合しつつあり（物理的な機器、産業プロセス、インフラを監視・管理するためのツール）、主要分野全体にわたって進んでいる。世界経済フォーラムの「グローバル・サイバーセキュリティ・アウトルック2026」によれば、これによりエクスポージャーが増幅され、レジリエンスの必要性がより切迫している。グローバル・サイバーセキュリティ・アウトルック2026。
したがって、個々の組織を守ることにとどまらず、サイバーセキュリティは、社会と経済を支えるシステムの安定性を維持することにも、ますます深く関わるようになっている。混乱はサプライヤー、パートナー、国民経済に影響を及ぼしうる。 しかし、産業環境が急速に進化している一方で、ガバナンスモデルの適応は遅れている。
リスクの所有は、一般的に分散している。エンジニアリング、オペレーション、テクノロジー、外部パートナーの間で分かれている。説明責任は共有されていることが多いが、明確に定義されていない。そして、経営幹部レベルでの可視性は依然として一貫性を欠いており、特に運用技術が従来のIT組織から切り離されている場合にその傾向が強い。
この隔たりは、最近のデータにも表れている。産業環境を持つ組織のうち、OTセキュリティの問題を取締役会に報告しているのは16%にすぎず、専任のOTセキュリティチームを有しているのは20%、OTセキュリティに関する直接の責任を最高情報セキュリティ責任者に割り当てているのはわずか36%である。産業上の混乱は企業の枠を超えて広がりうるため、このガバナンスの隔たりはシステミックな影響をもたらす。
これらの数字は、成熟度のばらつきと、多くの組織が依然として産業サイバーリスクを統治する方法に潜む構造的な弱点を示している。監視が限定的で、説明責任が分散し、運用上の依存関係が十分に理解されていない場合、レジリエンスは検証された能力ではなく、単なる願望にとどまりやすい。相互接続された環境では、ガバナンスの弱さは一つの機能や一つの拠点の中だけにきれいに封じ込められることはない。
この広範な課題はOTに限られない。ハーバード・ロー・スクール・フォーラムが取り上げたEY の調査に基づく最近の開示分析によると、78%の企業は依然としてサイバーセキュリティの監督を主に監査委員会に委ねている一方で、73%は現在、ISO 27001などの外部フレームワークへの準拠を開示している。これは前進ではあるが、多くの取締役会が、相互接続された事業環境におけるサイバーリスクの特有の複雑さではなく、一般的な監督のために設計された体制に依然として依存していることも示唆している。
規制当局もガバナンスを重視している。SECの2023年サイバーセキュリティ開示規則は、上場企業に重大なインシデントの報告を義務付けるとともに、サイバーセキュリティのリスク管理、戦略、ガバナンスに関する年次開示を求めている。
サイバーセキュリティは今や、セキュリティとガバナンスの課題であるとともに、市場の透明性に関わる問題でもある。
レジリエンスの問題
産業サイバーリスクは、脅威の増大だけでなく、運用環境が本質的に制約を受けていることからも困難である。資産のライフサイクルが長いこと、可視性が限られていること、組み込まれたサードパーティによるアクセス、安全性が重視される条件により、迅速な是正は一般的なITenvironments より困難である。米国サイバーセキュリティ・インフラセキュリティ庁の OT に関する共同ガイダンスは、事業上の意思決定がOTサイバーセキュリティに影響を及ぼしうると指摘しており、OTセキュリティの視点を適用することで、セキュリティと事業継続性の両方が向上するとしている。
これにより、課題は統制上の問題からシステミックな問題へと移行する。大規模になるほど、レジリエンスは個々の拠点の防護策よりも、多様な成熟度、依存関係、制約を抱える分散環境全体で一貫した意思決定を行う組織の能力に左右されるようになる。これは、産業サイバーリスクに関してガバナンスが極めて重要であることを示している。
その意味で、レジリエンスは単に技術を復旧させる能力ではない。システムが機能低下している間も、意思決定の質、継続性の優先順位、運用上の信頼を維持する能力である。この違いは、産業環境において特に重要であり、システムを復旧させることと、プロセスの安全な運用に対する信頼を回復することは、必ずしも同じではないからである。
このことは、取締役会が依然として苦戦している理由を説明するのに役立つ。ハーバード・ビジネス・レビューは、取締役会がサイバーセキュリティへの関心を高めている一方で、必要な専門知識を欠いていることが多く、AIをセキュリティとは切り離して扱い、コンプライアンスをレジリエンスと同一視していると指摘している。産業分野では、こうした弱点が、サイバー上のエクスポージャーから運用上の混乱へと速やかに拡大しうる。
産業サイバーリスクのレジリエンスを構築する
これがガバナンスの課題であるならば、対応は統制を追加することだけに限定できない。必要とされるのは、産業サイバーリスクの理解と統治の在り方を、次の3つの方法で変えることである。
1. 分散した所有から、境界を越えた明確なガバナンスへの移行
多くの産業環境では、説明責任は、必ずしも同じ優先順位や意思決定の論理を共有していない機能部門にまたがって分散している。システムの相互接続が進むにつれ、組織は、責任の分担方法、トレードオフの解決方法、そして混乱が事業運営とレジリエンスの両方に影響する場合の意思決定の方法を定義するガバナンスモデルを必要としている。
2. 統制中心の監督から、リスクシナリオに基づく監督への移行
相互接続された産業環境では、レジリエンスは個々の防護策が存在するかどうかよりも、混乱が資産、サービス、サプライヤー、分野全体にどのように伝播しうるかを、経営陣が理解しているかどうかに左右される。これには、静的な統制の見直しを超えて、相互依存性と実際の運用条件を反映したシナリオに基づくガバナンスへと移行することが求められる。
3. 内部の確信を独立した保証へと転換する
混乱が運用上、経済上、または社会上の影響を生じさせる可能性がある状況では、自己評価だけでは不十分である。組織には、ガバナンスが圧力下で機能するかどうか、分散環境全体で連携が機能するかどうか、そしてシステムの進化に伴いレジリエンスに関する前提が引き続き有効であるかどうかを検証する仕組みが必要である。これには、取締役会に客観的な検証と、レジリエンス戦略の有効性に関するより深い可視性をもたらす、第三者による監査や外部評価を含めることができる。
産業サイバーリスクのガバナンスの進化
これらの変化は技術的な統制に取って代わるものではなく、統制を適切な文脈に位置づけるものである。産業システムにおいて、大規模なレジリエンスは、技術だけでなく、技術を取り巻くガバナンスの質によってますます左右されるようになっている。
したがって、ビジネスリーダーが直面する課題は、狭義のサイバーセキュリティよりも大きい。ガバナンスモデル、保証の仕組み、説明責任の構造は、相互接続された事業運営の現実に追いつくよう、十分な速さで進化しなければならない。
産業システムにおいて、レジリエンスは、混乱によって組織が試される前に、複雑さをどれだけうまく統治できるかによって、ますます定義されるようになるだろう。
