インシデント後の復旧能力だけでは、組織のサイバーレジリエンスを測る指標として不十分になっています。
高度化するサイバー犯罪と、第三者から引き継ぐリスクを背景に、リーダーはサイバーリスクのガバナンスのあり方を見直しています。
今後は、復旧に加え、より早い段階に目を向け、備えと早期のリスク軽減の観点からサイバーレジリエンスを測定すべきです。
世界各地で取締役会や経営幹部レベルの議論におけるサイバーレジリエンスの存在感が高まるなか、リーダーはサイバーリスクを事業、業務運営、ガバナンスの中核的な課題として認識するようになっています。
しかし、従来、サイバーレジリエンスは主に復旧段階で測定されてきました。システムをどれだけ速く復旧できるか、危機対応チームがどれだけ効果的に対応できるか、インシデント後の被害を組織がどれだけ抑えられるかが基準でした。
こうした能力も重要ですが、人工知能（AI）を活用した攻撃、拡大するデジタル依存、増大する第三者リスクに直面する今、リーダーにはより広い視点が必要です。
今後、サイバーレジリエンスは、より早い段階から測定すべきです。まず、リスク軽減と備えの能力、すなわち被害が生じる前に混乱の発生確率や規模、事業への影響を抑える能力を測り、そのうえで予防が不十分だった場合の復旧能力を測定します。
サイバーインシデントは組織にとって高くつく現実
備えとリスク軽減に重点を移すことが急務となっているのは、サイバーインシデントが今や世界中のあらゆる規模の組織にとって日常的な現実だからです。世界経済フォーラムの「グローバル・サイバーセキュリティ・アウトルック2026」 は、AI主導のリスク、地政学的な分断、拡大するサイバー格差によって形作られる、まさにこうした急速に変化する環境を描いています。
復旧は通常、備えよりはるかに費用がかかるため、この考え方を変えることには経済的にも大きな根拠があります。IBMの「2025年データ侵害のコストに関するレポート」によると、侵害による世界平均コストは440万ドルでした。また、損失を抑える主な要因は、侵害の迅速な特定と封じ込めでした。
同レポートは、AIと自動化を広く活用する組織では、侵害のライフサイクルが80日短縮され、侵害の平均コストが190万ドル減少したとしています。公表事例を見ると、その差はさらに明らかです。マースクは、NotPetya攻撃による事業中断と復旧のコストを2億～3億ドルと見積もりました。
サイバーレジリエンスの測定をどう進化させるべきか
リーダーにとって教訓は明快です。レジリエンスとは、衝撃に耐えることだけではなく、そもそも高額な復旧を必要とする事態を減らすことでもあります。そのため、サイバーリスクの測定は、相互に関連する4つの変化を通じて進化する必要があります。
静的な測定から動的な測定へ
新しいアーキテクチャー、サプライヤー、ソフトウェア更新、AI導入、外部に露出したIDによって日々変化するデジタル環境では、時折行う質問票や特定時点のレビューだけでは不十分です。
現代のレジリエンス測定は、定期監査だけでなく、継続的なモニタリングの仕組みとして機能すべきです。英国の国家サイバーセキュリティセンターが提供するアクティブ・サイバー・ディフェンスプログラムはその好例です。継続的なサービスと自動チェックを通じて、広範囲に及ぶ一般的な攻撃による被害を抑えます。
基本原則は簡単です。測定は、保護対象の環境の変化にリアルタイムで追いつかなければなりません。
自己申告から観測可能な証拠へ
サイバーリスクが複雑化し、変化の速度も増すなか、サイバーレジリエンスは、聞き取り、自主評価、方針文書だけに頼ることはできません。システム、管理策、プロセス、チームが実務で効果的に機能していることを示す、観測可能な証拠も必要です。
リーダーやサイバー対策チームは、インシデントが発生する前に備えを強化するため、外部情報への依存を強めています。早期警戒につなげるには、インターネットに面した脆弱性、意図しない情報露出、新たな脅威の兆候を外部から評価する必要があります。
情報を得るタイミングが重要です。内部ツールが侵害の兆候を検知する前に外部視点のリスク情報を得られれば、脅威が境界に到達する前に防御側が行動を起こせる可能性があります。
可観測性とは、被害を確認する内部アラートを待つことではありません。脆弱性スキャンから漏洩サイトやダークウェブの監視まで、外部から得られる情報を使い、組織がすでに脆弱な状態にある、情報が露出している、または標的にされている可能性のある箇所を特定し、侵害が業務の混乱に発展する前に対応することです。
コンプライアンスから行動につながる測定へ
特に規制対象の業界では、コンプライアンスは引き続き有用です。しかし、コンプライアンスのスコアだけでは組織を守れません。測定結果を適切に分析すれば、どの脆弱性を優先して修正するか、どのサプライヤーへの対応をエスカレーションするか、どの資産を露出状態から外すかといった、より適切な経営判断につながります。
確立されたインシデント対応ガイドやフレームワークは、こうした優先順位付けの考え方を明示しています。ガバナンス、特定、保護は、対応や復旧と切り離されたものではありません。インシデントの予防、影響の軽減、時間の経過に伴うインシデント管理の改善に役立ちます。測定が真価を発揮するのは、優先順位付け、投資、是正措置に反映されたときです。
個別対応からシステム全体の対応へ
レジリエンスがより広いエコシステム全体の連携、情報共有、可視性に左右されることを示す証拠が増えているにもかかわらず、多くの組織はいまだに、自社の境界でリスクが止まるかのようにサイバーレジリエンスを評価しています。
2025年のベライゾンのレポートは、実際に発生した22,052件のセキュリティインシデントを分析し、侵害の30%に第三者が関与していたと報告しました。これは前年のおよそ2倍です。つまり、レジリエンスは組織内で測定するだけでなく、ベンダー、サービスプロバイダー、ソフトウェア依存関係、露出した認証情報、正式な境界の外部で流通する漏洩デジタル資産にも範囲を広げて測定する必要があります。
SWIFTの顧客セキュリティ・プログラムは実践的な事例です。必須管理策と証明制度を組み合わせ、各参加者にリスク管理を委ねて孤立させるのではなく、金融エコシステムへの信頼を強化しています。
情報共有・分析センター、すなわちISACも、同じ業界の組織が情報を共有し、サイバーレジリエンスを集団で強化する実践的なモデルです。相互につながった経済では、混乱が波及しうる範囲でレジリエンスを測定し、管理しなければなりません。
一貫したサイバー測定を支えるフレームワーク
組織は、成熟したフレームワークや標準を活用し、4つの変化すべてにわたって一貫した測定を行えます。たとえば、NIST CSF 2.0は、サイバーリスクのガバナンス、特定、保護、検知、対応、復旧を実践的に進めるための枠組みを提供します。MITRE ATT&CKは、実際の攻撃者の行動に対して防御策を対応付けるためのナレッジベースを提供します。これらのフレームワークなどを併用することで、取締役会、セキュリティチーム、サプライヤー、規制当局の間で共通言語を確立できます。
先進的な組織はすでに変化を進めています。サイバーレジリエンスは、インシデント後に何が起きたかだけで測るものではありません。組織が備えを強化し、露出を減らし、測定結果を行動に移し、デジタルリスクのシステム的な性質に対処しているかどうかも問われます。
実務では、4つの問いが重要です。測定は動的に行われているか。自己申告ではなく、運用上の有効性を観測しているか。測定結果は行動につながっているか。モニタリングの範囲は自社の境界を越え、依存するより広いエコシステムに及んでいるか。
2026年、これらの問いに「はい」と答える組織や政府は、混乱を防ぎ、信頼を守り、直接的・間接的な損害を減らし、より大きな確信をもってデジタルイノベーションを加速できる立場に立つでしょう。
フォーラムは、リーダーがサイバーリスクを理解し、デジタルレジリエンスを強化するためにどのように支援しているか
サイバーセキュリティセンターは、リーダーが集い、進化するサイバーリスクとそのシステム的な影響を理解するための信頼できる場を提供します。相互接続が進むデジタル世界で、理解と信頼の構築に取り組んでいます。
業界横断の協力と知見の共有を促すことで、同センターはパートナーのサイバーレジリエンス強化を支援し、集団的な対応が必要な課題への取り組みを後押しします。
