サイバー攻撃による混乱がますます避けられないものとなる中、サイバーレジリエンスはもはや単なる目標として扱うことはできず、測定可能な能力として確立する必要があります。
レジリエンス指標は、既存の統制や能力が事業への影響を実質的に低減し、復旧を加速させるかどうかを示すものでなければなりません。
測定可能な成果、すなわち組織が混乱を検知し、吸収し、封じ込め、そこから回復する能力の実効性は、効果的なサイバーレジリエンス戦略の基盤となります。
今日、ほとんどのリーダーは、すべてのサイバーインシデントを防げるわけではないことを認識しています。AIを活用した脅威、脆弱なサプライチェーン、地政学的な不安定さによって形作られた環境において、サイバー攻撃による混乱はもはや計画上の例外ではなく、組織が事業を継続しながら対処すべき状況となっています。
この考え方の転換は重要である一方、より難しい問いも提起します。インシデントによって答えが明らかになる前に、組織は自らがレジリエントであるかどうかをどのように把握できるのでしょうか。また、その点について何ができるのでしょうか。
これらの問いに答えるには、サイバーレジリエンスを測定可能なものにする必要があります。レジリエンスを広範な目標から、リーダーが評価、検証し、時間をかけて改善できるものへと置き換えることが不可欠です。
誤った対象を測定することの問題点
サイバーセキュリティには指標が不足していることはありません。組織は、脆弱性、アラート、パッチ、研修の修了率、監査での指摘事項、ツールの導入範囲を数えることができます。これらの測定は重要ですが、大規模インシデントの最中に組織が業務を継続できるかどうかを必ずしも明らかにするわけではありません。
強固な技術的統制を備えていても、危機への備えができていない企業もあります。対応計画が検証されていない、バックアップが期限内に復旧できない、あるいは重要な業務上の依存関係が不明確であるといった事態も起こり得ます。こうした欠陥は、レジリエンスを統制の有無だけで測定できないことを示しています。レジリエンスは、これらの統制を通じて組織が実際に混乱を抑えられるかどうかによって測定されなければなりません。
世界経済フォーラムの「Unpacking Cyber Resilience（サイバーレジリエンスを読み解く）」報告書では、サイバーレジリエンスを、重大なサイバーインシデントが組織の主要な目標や目的に与える影響を最小限に抑える組織の能力と定義しています。言い換えれば、レジリエンスはサイバーセキュリティの活動だけでなく、事業への影響によって測定されるべきです。
測定すべき対象
組織は多くのサービス、システム、資産に依存していますが、サイバーインシデントの最中にそのすべてが同程度に重要であるわけではありません。
レジリエンスの測定は、組織の「最低限必要な事業（minimum viable business）」を定義することから始めるべきです。これは、組織が劣化した状況下でも中核的な使命を果たすために、継続して稼働するか、最初に復旧しなければならない不可欠なサービスと能力を指します。この出発点からこそ、リーダーは重要な問いを投げかけることができます。
· 重要なサービスはどれだけの期間停止しても耐えられるか。
· 復旧に関する判断をどれだけ迅速に下せるか。
· どのサプライヤーやシステムが単一障害点を生み出しているか。
· デジタルシステムが利用できない場合、どのような手作業による代替手段があるか。
· 事業はどの程度の混乱まで許容できるか。
復旧時間はIT指標だけの問題ではない
サイバーレジリエンスを測定する上で最も有用な指標の一つは時間です。すなわち、検知までの時間、判断までの時間、封じ込めまでの時間、復旧までの時間、顧客向けサービスを復元するまでの時間です。
世界経済フォーラムは、サイバーレジリエントな組織を、「V字を縮める（shrink the V）」ことができる組織、すなわちインシデント後の混乱の深さと期間を低減できる組織と定義しています。この考え方は、レジリエンスを観察可能なものにするため価値があります。業務の落ち込みが小さく、復旧が速いほど、組織はよりレジリエントであると言えます。
しかし、復旧は技術の復元だけを意味するものとして捉えるべきではありません。真の復旧には、業務の回復、信頼の保護、財務的損害の抑制、そして顧客、従業員、規制当局、パートナーからの信頼の維持も含まれます。
そのため、レジリエンス指標はサイバーセキュリティ担当チームだけでなく、事業リーダーにとっても意味のあるものである必要があります。目標復旧時間や目標復旧時点は重要ですが、意思決定の速さ、顧客への影響、法務対応の時間、コミュニケーションの準備状況、重要サービスを継続稼働させる能力も同様に重要です。
サイバーレジリエンスを検証する最善の方法は、現実的な演習である
レジリエンスは、質問票だけで十分に測定することはできません。自己評価によって計画が存在するかどうかは分かっても、プレッシャーの下で機能するかどうかは分かりません。そのため、演習はサイバーレジリエンスを測定するための最も重要な手段の一つになりつつあります。机上シミュレーション、復旧訓練、危機対応リハーサルは、静的な指標では捉えきれないことを明らかにします。すなわち、混乱、責任の不明確さ、エスカレーションの遅れ、データの欠落、コミュニケーションの断絶、非現実的な前提などです。
世界経済フォーラムの「Global Cybersecurity Outlook 2026（グローバル・サイバーセキュリティ見通し2026）」は、高いレジリエンスを持つ組織と十分なレジリエンスを持たない組織との間に差があることを示しています。高いレジリエンスを持つ組織の44%がエコシステムのパートナーとともにサイバーインシデントをシミュレーションしたり、復旧演習を計画したりしている一方、十分なレジリエンスを持たない組織では16%でした。この差は重要です。
実際のインシデントの際、組織が失敗するのは、ほとんどの場合、方針がないからではなく、誰が決定するのか、何を優先するのか、ストレス下でどのように連携するのかを人々が把握していないからです。
優れたレジリエンス演習は、過度に複雑である必要はありません。トレードオフを迫るのに十分な現実味があることが必要です。例えば、ランサムウェア攻撃により顧客向けシステムと社内コミュニケーションが同時に停止した場合、何を最初に復旧するかは誰が決めるのでしょうか。重要サービスがサプライヤーの停止によって影響を受けた場合、組織はどれだけ迅速に代替手段へ切り替えられるでしょうか。法務、広報、技術の各チームの意見が対立した場合、判断はどのようにエスカレーションされるのでしょうか。これらは測定可能な問いです。
組織の枠を超えてレジリエンスを広げる
とはいえ、サイバーレジリエンスを単独で捉えることはできません。相互接続が高度に進んだ現代の世界では、どの組織も独立して事業を運営しているわけではないため、真のレジリエンスはエコシステムの課題です。組織は、クラウドプロバイダー、ソフトウェアベンダー、物流パートナー、決済システム、外部委託サービス、共有インフラに依存しています。エコシステムの一部に生じた脆弱性は、別の場所で急速に危機へと発展し得ます。
それでも多くの組織は、運用上のレジリエンスではなく、定期的な評価によってサプライヤーリスクを測定しています。より有益な問いは、サプライヤーに統制があるかどうかだけでなく、そのサプライヤーが機能しなくなった場合に事業を継続できるかどうかです。これには、エコシステムの準備状況を測定することが求められます。具体的には、サプライヤーの復旧時間、代替プロバイダー、契約上のエスカレーション経路、共有インシデント対応手順書、共同演習などです。
レジリエンスの観点では、サプライヤーは単なるベンダーではありません。組織の復旧能力の一部として位置付けなければ、すぐに組織の最も脆弱な点となってしまいます。
スコアから意思決定へ
サイバーレジリエンスを測定する次の段階は、単にスコアを新たに作ることではありません。測定の目的は、より良い意思決定を行うことです。強力なレジリエンス測定の手法は、リーダーがどこに投資すべきか、何を最初に修正すべきか、どのリスクを受け入れるかを判断する助けとなるべきです。それは、サイバーセキュリティの活動を増やすだけでなく、投資が事業への影響を実際に低減しているかどうかを示すものでなければなりません。
このことから、レジリエンス測定は経営のためのツールとなります。取締役会がより鋭い問いを投げかける助けとなるのです。
· 最も重要なサービスを保護できているか。
· 復旧に関する前提を検証したか。
· 危機の際に、どれだけ迅速に意思決定できるかを把握しているか。
· 重要なサプライヤーが機能しなくなった場合でも、業務を継続できるか。
· 時間の経過とともに改善できているか。
サイバー攻撃による混乱がますます避けられなくなる時代において、これらは組織が問うべき最も重要なサイバーセキュリティ上の問いかもしれません。サイバーレジリエンスの未来は、備えができていると主張する組織によって決まるのではありません。それを証明できる組織によって決まるのです。
