金融サービス業界は、サイバーセキュリティの観点から厳しい規制を受けており、多くの組織がそれに応じて堅牢なガバナンス体制を整えています。
しかし、真に成功するには、サイバーセキュリティを「チェック項目を埋める」作業とみなすのではなく、信頼を築くための戦略的なツールと捉える必要があります。
企業のデータセキュリティ能力を顧客に見える形にすることは、顧客データを誠実に管理しようとする企業の取り組みへの信頼につながります。
金融サービス業界、とりわけ銀行業界は、サイバーセキュリティの観点から厳しい規制を受けてきました。
その結果、業界の多くの組織は、規制要件を順守し、規制当局の監視を軽減し、それに伴う評判リスクを管理するため、自社の能力を整え、強固なガバナンス体制を確立することを優先してきました。
しかし、技術革新の急速な進展を踏まえると、組織が真に成功するには、サイバーセキュリティを「チェックボックスを埋める」活動とみなす考え方を改め、事業目標の推進と顧客の信頼構築につながる戦略的なツールと捉える必要があります。
サイバーセキュリティを戦略的なツールと捉える
サイバーセキュリティを脅威として片付けることは、銀行業界の現状を見過ごすことです。関係構築ややり取りがますますオンライン化するなか、サイバー空間で顧客により良いサービスを提供する機会は広がっています。
世界経済フォーラム（WEF）は、全米取締役協会（NACD）およびインターネット・セキュリティ協会（ISA）と協力し、「サイバーリスクに関する取締役会ガバナンスの原則」報告書を2021年に発表しました。
この報告書では、取締役会がサイバーリスクをガバナンスする際に役立つ6つの原則を説明しています。第1の原則である「サイバーセキュリティは戦略的なビジネスの推進力である」は、組織全体のデジタルトランスフォーメーションにおいて、サイバーセキュリティ上の考慮事項を事前に組み込み、経営陣と取締役会が十分な情報を得て、サイバー関連の議論に積極的に参加できるようにする必要性を強調しています。
ある2022年のPwC調査で、組織のサイバーセキュリティの使命を経営幹部がどのように位置づけているか尋ねたところ、CEOの半数超（54%）が、セキュリティチームにはより大局的な成長関連の目標を掲げてほしいと回答しました。
回答者の5人に2人（20%）は、「データを倫理的に利用し、保護する方法について顧客の信頼を築くこと」を、最も重要なサイバーセキュリティの使命として挙げました。
そのため、サイバーセキュリティを通じて事業価値を最大化するための要点は、次の2つです。
1. 組織内にサイバーセキュリティ文化を築き、事業、テクノロジー、サイバーセキュリティの各チームが効果的に連携できるようにする。
2. 顧客満足度を高めるため、組織のサイバーセキュリティ能力がもたらす効果を伝える。
組織内に強固なサイバーセキュリティ文化を築く方法
組織内でサイバーセキュリティへの意識を高めるメッセージは、トップから発信されます。取締役会が経営幹部によるサイバーセキュリティ施策の推進を後押しできるよう、取締役会メンバーも定期的な机上演習に参加し、サイバー脅威への対応における自らの役割と責任について学ぶべきです。そうすることで、サイバー攻撃が事業に及ぼし得る影響をより具体的に把握できます。
さらに、取締役会に正式なサイバーセキュリティプログラムの報告を行う際には、重要な質問も提示し、テクノロジー、事業、サイバーセキュリティの各リーダーに問いを投げかけるよう促すべきです。これにより、コンプライアンスに基づく優先順位付けではなく、リスクに基づく優先順位付け、コミュニケーション、意思決定が可能になります。
その次の学習段階として、取締役会メンバーは、得られた回答が何を意味するのか理解する経験を積む必要があります。取締役会メンバーはサイバーセキュリティの専門家から重要な意見を受けることが多く、それに適切に対応することで、資金調達の判断を支え、取り組みの優先順位を定め、経営幹部の適切な関与を促すことができます。
また、サイバーセキュリティを担う情報セキュリティ責任者が、事業リーダーによるサイバーセキュリティ要件の実施を専門知識で支援し、事業部門から意見を集めて戦略を強化し、大規模なデジタルトランスフォーメーションを支えるなかで、テクノロジーチームだけでなくマーケティングや製品チームとも連携できる文化を築くことも不可欠です。
セキュリティチームのリーダーは、同業組織、セキュリティ関連のユーザーグループ、脅威インテリジェンス情報との連携を積極的に促し、変化するサイバーセキュリティ環境への理解を最新に保つとともに、チームが必要な知識を得られるようにすべきです。さらに、組織内のすべてのセキュリティ専門家は、役割に応じた継続的な研修を通じて、高い専門性を維持する必要があります。
組織のサイバーセキュリティ能力がもたらす効果を伝える方法
セキュリティチームのリーダーは連携して、組織全体の使命、価値観、目標に沿ったサイバーリスクに関する使命とビジョンを定め、公表すべきです。企業のアイデンティティを反映し、サイバーリスク管理の方針を顧客に伝える内容にします。
これらの声明は、サイバーセキュリティプログラムの「北極星」として機能し、効果測定と評価に向けた今後の取り組みの方向づけに役立ちます。
顧客と対話する際には、サイバーセキュリティを議題に含め、脅威を監視する能力、長期的なサイバーセキュリティの影響を分析する能力、顧客向けサービスにサイバーセキュリティ上の考慮事項を取り入れる能力について説明し、顧客との透明性の高いコミュニケーションを築くべきです。
事業のオンライン化が進むなか、組織のデータセキュリティ能力を顧客に見える形にすることで、顧客データを誠実に管理しようとする組織の取り組みに対する安心感と信頼を高めることができます。
例えば、ジュリアス・ベアがグループの2021年の年次サステナビリティ実績を発表した際、正式なプレゼンテーションには主要な財務指標だけでなく、継続的な技術革新と責任あるサイバーリスク管理によって、同行がデジタル機会を捉え、顧客の信頼を築く方法を説明する資料も含まれていました。
顧客の信頼を築くため、連携してサイバーセキュリティに取り組む
今日の世界ではサイバーセキュリティは誰にとっても関係する課題ですが、抽象的で実体がなく、対処が煩雑だと見なされるため、話題にされないことがよくあります。
世界経済フォーラムはサイバーセキュリティにどのように取り組んでいるのでしょうか。
サイバーセキュリティセンターは、リーダーたちが集まり、変化するサイバーリスクとそのシステム全体への影響を理解するための、信頼できるプラットフォームを提供しています。相互接続が進むデジタル世界で、理解と信頼の構築に取り組んでいます。
分野を越えた連携と知見の共有を促進することで、同センターはパートナーのサイバー耐性強化を支援し、集団的な対応を必要とする課題に取り組んでいます。
したがって、「私たちは共に取り組んでいる」という姿勢を取り、事業チーム、サイバーセキュリティチーム、顧客の間で積極的な連携を促進することが、成功し、デジタルに対応した組織の基盤となります。
