最高情報セキュリティ責任者（CISO）は、組織全体の変革を促進し加速させるため、サイバー防御を超えて注力の対象を広げる必要があります。
サイロ型ではなく、よりホリスティックなプラットフォーム型のセキュリティアプローチは、企業がサイバーレジリエンスに至るための合理化された道筋を提供します。
そうすることで、サイバーセキュリティは、信頼を築き、イノベーションを支え、組織全体の成長を推進する戦略的な実現要因となります。
最高情報セキュリティ責任者（CISO）、すなわちCISOは、強いプレッシャーにさらされています。経営幹部の同僚たちは、株主価値の創出、成長の推進、運営モデルの変革、新たなデジタルサービスや体験による差別化などを求めており、そのほかにも多くの要求があります。CISOは適切な規制要件への完全な準拠を確実にすることを求められ、当然ながら、各部門が可能な限り保護されていることも確かめる必要があります。これは大きな要求です。
置かれた状況によって、私たちが話を聞くCISOは二通りの反応を示す傾向があります。これらの変革を促進するために必要なすべてを整えていると自信を持つ人もいます。しかし、より多数派である残りの人々は、すべてを保護するための適切なインフラや予算が確保されているのかを疑問視する傾向があります。
どのような反応であれ、CISOがエンドポイントやアプライアンスについて考えていないことは明確にしておく必要があります。彼らが注力しているのは、KPI、業務効率、そしてサイバーレジリエンスです。また、彼らの主要な悩みは、近代化、変化する規制、そしてセキュリティとビジネス戦略の整合性にあります。この段階で、技術が議題に上ることはほとんどありません。
これは重要な点です。セキュリティベンダーやソリューションプロバイダーは、サイロ型のソリューション提供に注力し、「地下室で」事業を行うことに安住しがちです。ベストオブブリードかどうかにかかわらず、世界は変わったことを私たちは皆認識しなければなりません。
現在、顧客は数多くの深刻な課題に直面していると同時に、さまざまな刺激的な機会にも恵まれています。ファイアウォールやエンドポイント保護について語っても、セキュリティチームが前者の課題に取り組んだり、後者の機会を実現したりする助けにはなりません。
さらに、経営幹部層や取締役会は、セキュリティ責任者が自社の主要なビジネス上の優先事項を実現できるかについて、今やそれほど自信を持っていないため、製品に関する話し合いは役に立ちません。
セキュリティは戦略的な議論の対象である必要があります。もはや単に強固な防御を提供することだけが問題なのではありません。私たちはビジネスに関わり、ビジネス上の課題について議論し、業界がどのようにCISOを支援して、保護の域を超え、組織全体の変革を促進し加速させられるかを示す必要があります。
組織にとってのデジタルの必須要件
小売銀行や保険会社から政府機関や自動車メーカーに至るまで、デジタル変革が市場の形を変えつつあります。
データ製品の進化、アジャイルなデジタルエコシステム、新たなクラウドベースの運営モデルが、各分野で計画・導入されています。調査によると、71%の企業がデジタル変革を通じて収益を増加させています。そして当然ながら、私たちは人工知能（AI）の波のまだ始まりにいるに過ぎません。
AIに対するCEOや取締役会の期待は非常に高いものです。テクノロジーリーダーの10人中9人（92%）が、2025年に自社の組織でAIが導入されると予想しており、これは他のどの技術よりも多い割合です。しかし、セキュリティに関する自信は決して確かなものではありません。
組織は、生成AI（GenAI）アプリケーションの試験導入や採用、大規模言語モデルの構築を進める中で、既知および未知のものを含む複数のセキュリティ課題に直面しています。ある調査では、従業員が生成AIを積極的に利用するにつれて、サイバーセキュリティの専門家の43%が自社のデータ漏洩を懸念していると回答し、一方で42%は、従業員が生成AIサイトにアクセスしているかどうか、またそこで何をしているのかを把握できていないと回答しています。
まだ完全な無法地帯というわけではありませんが、それに近い状況です。確かなことが一つあります。デジタル変革によって、すでに攻撃対象領域は広がっていました。AIはその領域を、さらに大きくしたに過ぎません。
規模は問題の一つに過ぎず、もう一つは複雑さです。デジタル変革を推進するインフラは複雑です。レガシーなオンプレミス、クラウド、エッジ、そしてハイブリッド環境のすべてが、その構成要素となっています。
さらに、業界によっては、すべてのCISOが数多くの規制を認識し、対処する必要があります。しかも、それらの規制は進化を続けており、最新のものには、金融サービスにおけるEUのデジタル運用レジリエンス法（DORA）、重要インフラにおけるネットワークおよび情報セキュリティ（NIS2）指令、サイバーレジリエンス法、そして、米国の連邦情報セキュリティ近代化法（FISMA）などがあり、ほんの一部を挙げただけでも多岐にわたります。
優先事項が競合し、予算が限られている中、CISOが実行できることには限りがあります。たとえそうでなかったとしても、熟練したサイバーセキュリティ専門家の不足という問題は依然として残っています。これは短期間で容易に解消できるものではありません。すべてを考慮すると、セキュリティ責任者が夜も眠れないほど悩む理由は数多くあります。
セキュリティに関する議論を変えるときか？
セキュリティに対する異なる視点と、ベンダーコミュニティからのより戦略的な支援があれば、これらの多くのジレンマは、非常に実践的な方法で解決できます。すでに触れたように、セキュリティを純粋に防御的な手段と捉えることは、変革を加速させる非常に現実的な能力を見逃すことになります。
先ほどの生成AIの例を考えてみてください。データ漏洩の問題を解決するためのガバナンスと実践的な対策が整えば、組織全体のチームは、コパイロットやバーチャルアシスタントを非常に迅速に導入し、その価値を享受することができます。
同様に、組織は新しいデジタルアプリやサービスの展開を加速させることができます。取締役会、株主、規制当局が、サイバーリスクを適切に管理できると確信すれば、クラウドへの移行も加速できます。このような例は枚挙にいとまがありません。
セキュリティ、より正確にはサイバーレジリエンスは、デジタル変革の基盤となり、実際に成長をもたらすものとなります。これは、コストではなく価値として位置づけることができることを意味し、多くの場合、追加の予算や人材の確保にもつながります。
セキュアな状態からサイバーレジリエントな状態へ
現在、ビジネスモデルはほぼ例外なくデジタル技術に依存しています。ここで混乱が生じると、運営と収益に深刻な影響を及ぼします。サイバー攻撃による経済的損失は状況によって異なりますが、最近の報告書では、インシデント1件あたりの平均コストが476万ドルとされており、長期的な評判への影響はまったく考慮されていません。
従来のセキュリティ戦略は、脅威を事前に特定して軽減することに重点を置くことが多くなっています。そのため、ここでも議論の焦点を変え、サイバーレジリエンスに注力する必要があります。
真のサイバーレジリエンスを達成するには、よりホリスティックなアプローチを採用する必要があります。重要なのはインシデントを防ぐことだけではなく、混乱が発生した際に、組織が迅速に復旧し、業務の継続性を維持できるようにすることです。
レジリエンスを評価するための重要な指標は、平均復旧時間（MTTR）です。システムが完全な機能を回復するまでにどれだけ迅速に復旧できるかを把握することは、組織のサイバーレジリエンスのレベルを理解するうえで極めて重要です。
サイバーレジリエンスには、デジタル企業のあらゆる階層にセキュリティを組み込むことが求められます。このホリスティックな統合は、単にサイバー脅威から保護するだけでなく、規制への迅速な準拠を可能にし、業務の柔軟性を高め、イノベーションを推進するために必要な自信を築きます。
すべてのワークフローの構造に組み込まれたセキュリティは、この機動性を支え、最初の段階から他の作業ストリームとともに拡大することを可能にします。また、セキュリティをビジネス目標と整合させることも、より容易な作業となります。
サイバーレジリエンスのためのプラットフォーム型アプローチの採用
では、企業はどのようにして真にサイバーレジリエントになれるのでしょうか。CISOはすでに、大きな複雑さと予算上の制約に直面しています。彼らにとって理想的なソリューションは、シンプルで費用対効果が高く、統合されたものでなければなりません。ここで、プラットフォーム型アプローチが、レジリエンスへの合理化された道筋を提供します。
プラットフォーム型アプローチとは、組織が単一の統合プラットフォームを使用して、セキュリティツールや機能を管理・統合するものであり、複雑さを取り除きます。CISOが知っているように、複数のベンダーによるセキュリティソリューションのエコシステムを管理することは、複雑であるだけでなく、コストもかかります。
プラットフォームは、運用コストを大幅に削減し、総所有コストを改善します。さらに、完全に統合されたプラットフォームは、セキュリティ管理を自動化し、貴重なリソースを解放することができます。これにより、サイバーセキュリティのスキルが不足している場合の人材不足の解消にも役立ちます。
フォーラムは世界のサイバーセキュリティ課題にどのように取り組んでいるのか？
サイバーセキュリティセンターは、リーダーが集まり、変化するサイバーリスクとその体系的な影響を理解するための信頼できるプラットフォームを提供しています。増大する相互接続されたデジタル社会において、理解と信頼の構築に注力しています。
セクターを越えた協力と知見の共有を可能にすることで、同センターはパートナーがサイバーレジリエンスを強化し、集団的な対応を必要とする課題に対処できるよう支援しています。
複雑化するデジタルエコシステム、進化する規制要件、そしてデジタルファースト型の破壊的企業に直面して革新する必要性。上級セキュリティリーダーにとって、その任務は容易ではありません。さらに、今日の断片化したセキュリティ環境、孤立した個別製品、そして監視体制の欠如により、その任務はさらに困難になっています。その結果、多くの組織は、継続的なデジタル変革のための安全な基盤を構築することに苦慮しています。
Gartnerの調査が示すように、経営幹部層や取締役会がセキュリティチームによるビジネス上の優先事項の実現にあまり自信を持っていないのであれば、業界全体として、そのアプローチを洗練させ、ビジネス上の課題に対処し、真のビジネス成果をもたらすことが求められます。
私たち全員がより戦略的に考え行動し始め、サイバーレジリエンスにより包括的な方法で取り組めば、目標に到達できるでしょう。そしてそうなったとき、セキュリティが単なる保護の盾以上のものであることが明らかになります。適切に行えば、それは信頼を築き、イノベーションを支え、組織全体にわたって成長を推進する戦略的な実現要因となるのです。
