米国、欧州、アジアの大手グローバル企業37社のCEOへのインタビューに基づく初の調査では、CEOがサイバーセキュリティについてどのように考え、感じているかを理解することを目指しました。
調査では、CEOはサイバーセキュリティに関する意思決定に不安を感じ、サイバーセキュリティよりもレジリエンスについて話すことを好み、最高情報セキュリティ責任者（CISO）を信頼していることが分かりました。
この調査結果は、CISOがCEOに積極的に働きかけ、十分な情報に基づく信頼の状態へ移行する機会を示しています。
「私たちは極めて厳しい状況に置かれ、どの企業も決して直面したくない難しい選択を迫られました。」と、コロニアル・パイプラインの最高経営責任者（CEO）、ジョー・ブラント氏は、米国上院での質疑で述べました。同社がランサムウェア攻撃を受けてから1カ月後のことでした。コロニアル・パイプラインは、米国東部向け輸送燃料のほぼ半分を輸送する主要なパイプラインの所有・運営会社です。
このような壊滅的なサイバー攻撃は、CEOを一躍注目の的にします。メディア、株主、規制当局などの利害関係者から厳しく見られるなか、CEOは極度のプレッシャーの下、不完全な情報に基づいて会社の存続を左右する意思決定をしなければなりません。通常、サイバーセキュリティの深い専門知識はありません。しかし、私たちの知る限り、深刻なサイバー攻撃を経験したCEOがサイバーセキュリティリスクをどのように管理し、そこから何を学んだのかを、体系的に尋ねた人はいませんでした。
初の調査では、オックスフォード大学とISTARIが、米国、欧州、アジアの大手グローバル企業37社のCEOに1時間にわたるインタビューを実施し、CEOがサイバーセキュリティについてどのように考え、感じているかを調べました。特に、壊滅的なサイバー攻撃を乗り越えるために会社を率いた9人のCEOにも話を聞きました。匿名が保証されたことで、彼らは学んだ教訓や不安、後悔について、驚くほど率直かつ正直に語りました。
CEOがサイバーセキュリティとレジリエンスについてどのように考え、感じているかを理解することは、最高情報セキュリティ責任者（CISO）にとって極めて重要です。CEOによるサイバーリスク管理をより効果的に支援できるほか、サイバー施策への経営陣のより有意義な支援を求められるようになります。
効果的なサイバーレジリエンスの連携を築くために、CISOがCEOについて知っておくべきことを3つ紹介します。
世界経済フォーラムはサイバーセキュリティにどのように取り組んでいるのでしょうか。
サイバーセキュリティセンターは、リーダーたちが集い、変化するサイバーリスクとそのシステミックな影響について理解を深める、信頼できるプラットフォームを提供しています。相互接続が進むデジタル世界において、理解と信頼の構築に取り組んでいます。
分野横断的な協力と知見の共有を促すことで、同センターはパートナーによるサイバーレジリエンスの強化と、集団での対応が必要な課題への取り組みを支援しています。
1. CEOはサイバーセキュリティに関する意思決定に不安を感じている
インタビューしたCEOは全員（100%）、サイバーセキュリティに対する責任を感じていると強調しましたが、その過半数（72%）は、サイバーセキュリティに関する意思決定に不安があると認めました。
多くのCEOは、財務、事業運営、マーケティングなど、従来型の事業領域で昇進を重ねてきました。技術分野、ましてサイバー分野でキャリアを始めてCEOになった人はごくわずかです。そのため、情報技術やサイバーセキュリティシステムに詳しいCEOはほとんどいません。
ある売上高80億ドルの欧州企業のCEOは、端的にこう語りました。「CIO（最高情報責任者）が経営会議で説明に来て、会社のサーバーが何台あると思うかと私たちに尋ねました。出席者の最少の見積もりは4台、最多は250台でした。実際には4,000台を超えていました。」」
しかし、深刻なサイバー攻撃が起きると、こうした知識不足がCEOの適切な意思決定を妨げるおそれがあります。CEOが感じる不安は、CISOがこの分野へのCEOの理解を深め、不安を和らげる機会となります。
CISOは、サイバーレジリエンスの実現に向け、技術面と事業面の要請を統合するための、より強固な関係を築くことができます。
2. CEOが話したいのはサイバーセキュリティではなくレジリエンス
当初、サイバーセキュリティについてのインタビューをCEOに依頼したところ、多くの人が自発的に、代わりにCISOに話を聞くよう、あるいは少なくとも同席させるよう提案しました。CEOとの面談が始まると、サイバーセキュリティを一人で扱うことへの強い不安が感じられました。
しかし、事業レジリエンスの観点から話をするという小さなアプローチの変更が、インタビューの雰囲気を大きく変えました。例えば、新型コロナウイルス感染症のパンデミック下で会社のレジリエンスを支えたものは何かと尋ねると、CEOはその後、サイバーレジリエンスについても気負わず話せるようになりました。インタビューは1時間の予定でしたが、多くのCEOが予定を超えて話を続けました。事業とサイバーレジリエンスについての議論を楽しんだと、彼らは語りました。
深刻なサイバー攻撃を乗り越えるために会社を率いたCEOたちは、サイバーレジリエンスの重要性をさらに強調しました。最大の後悔の一つは、レジリエンスではなくサイバーセキュリティによる防御に注力していたことでした。攻撃を経験したことで、完璧なサイバーセキュリティ対策を実現しようとしても勝ち目がないと理解しました。その代わりに、あらゆる組織が被り得る「予測可能な不意打ち」として、サイバー攻撃を捉えるようになりました。そして、戦略上の優先事項を、組織のサイバーレジリエンスの向上へと移しました。
サイバーレジリエンスとは、組織がサイバー攻撃を予測し、耐え、対応し、適応する能力を指します。影響を最小限に抑え、復旧を迅速化し、より強く立ち直ることが目標です。
CEOのこの見解は、CISOがサイバー戦略をサイバーセキュリティ対策ではなくレジリエンスの観点から位置づける機会を示しています。調査を読んだ後、何人かのCISOから連絡があり、そのうちの一人はこう語りました。「サイバー戦略をサイバーレジリエンス重視に調整したところ、事業部門全体でメッセージが非常によく浸透しています。」
3. CEOがCISOを盲目的に信頼するのは、良い面も悪い面もある
インタビューしたCEOは全員、サイバーセキュリティチームが職務を果たすと信頼していました。一般的には良いことです。しかし、攻撃を受けたCEOは、サイバーセキュリティチームを考えなしに信頼していたことを悔やみました。彼らにとって盲目的な信頼とは、技術専門家の説明を十分に理解したり、批判的に問い直したりできないまま、責任と理解を専門家に委ねていたことを意味しました。
会社が攻撃を受けたとき、CEOにとって権限委譲はもはや選択肢ではありませんでした。マーケティングや財務などの従来型の領域とは異なり、CEOにはサイバー危機を乗り切る経験や直感がありませんでした。それまで専門家を無思慮に信頼していたため、攻撃を受けたことで、通常なら意思決定階層のかなり下位にいる人々に会社の命運を委ねざるを得なくなりました。普段であれば、そのようなことはしないでしょう。
この点も、CISOがCEOに積極的に働きかけ、サイバーセキュリティチームを盲目的に信頼するのをやめて、十分な情報に基づく信頼へ移行する機会となります。
そのために、CISOはCEOに外部監査を依頼するよう提案できます。財務監査を依頼するのと同じです。調査結果をCEOに直接報告する外部専門家から偏りのない助言を得ることで、CEOとCISOの間に十分な情報に基づく信頼が築かれるとともに、会社に潜む盲点を明らかにできます。
