マークス＆スペンサーへのサイバー攻撃は、サイバーインシデントが発生することを前提としたサイバーレジリエンス戦略を企業が採用する必要性を浮き彫りにしています。
サイバーレジリエンス・コンパスは、組織がサイバー脅威への対応を改善するために強化すべき、相互に関連する7つの分野を特定しています。
この記事は、もともと オックスフォード大学のウェブサイトに掲載されたものです。こちらこちら。
イースター週末以降、英国で最大級の商業街小売業者の一つであるマークス＆スペンサー（M&S）は、事業運営に対するサイバー攻撃の余波への対応を続けています。この結果、同社はオンライン注文の停止を余儀なくされ、店頭では品薄が生じ、従業員の業務負担が増加し、株価は7億5,000万ポンド下落しました。
3週間が経過した現在においても、これらの混乱がいつ終息するかについての兆しはまだ見えていませんまた、M&Sがいつ通常の事業運営に戻れるのかも不透明です。この不確実性は、利益への影響が続くだけでなく、長期にわたる評判の毀損やブランドへの信頼の低下を招くおそれがあります。
この継続する事態は、主要な事業運営をサイバー脅威から守るだけでなく、重大なサイバーインシデントが発生した際にその影響を最小限に抑えることの戦略的重要性を浮き彫りにしています。
この二重のアプローチはサイバーレジリエンスと呼ばれ、新たな研究の主題となっています。これは、グローバル・サイバーセキュリティ能力センター（GCSCC）と世界経済フォーラムのサイバーセキュリティセンターによるものです。
サイバーレジリエンスとは何か？
サイバーレジリエンスとは、もはやいかなる組織も100％安全ではあり得ないという前提に立ち、従来のサイバーセキュリティを超えてセキュリティを捉える、幅広い組織的アプローチです。
このアプローチは、M&Sへの攻撃のような重大なインシデントが発生することを前提とし、インシデントの前、最中、そして後のいずれにおいても、組織が事象を吸収し、回復し、そこから学べるようにする対策を実施することを組織に促します。
このアプローチは、組織が自らの脆弱性がどのような形で現れるかを検討し、潜在的な影響をどのように抑えられるかを考えるよう促します。これには、システム障害が発生した際にも通常業務を継続できるようにすることや、データの機密性が損なわれることで生じる被害、例えば評判への影響を最小限に抑えることなどが含まれる場合があります。
先進的な組織は、増大する課題に直面する中で、サイバーインシデントの影響を抑えるための戦略的優先課題として、サイバーレジリエンスへの取り組みを進めています。
世界経済フォーラムの2025年「グローバル・サイバーセキュリティ見通し報告書」によると、2024年から2025年にかけて、組織の72％が事業運営に対するサイバーセキュリティリスクの増加を経験しました。この傾向は、より高度かつ拡張性の高いAI強化型攻撃、地政学的緊張の高まり、予測困難なサプライチェーンのリスク環境などの他の要因によってさらに悪化しています。
視覚的に言えば、サイバーレジリエンスの高い組織とは、影響の輪を縮小する方法を心得ている組織です。
サイバーレジリエンスはどのように実現できるか？
サイバーレジリエンスの実現は、単一の行動やツールだけでは不十分な、複雑で継続的なプロセスです。レジリエンスを標準化することはできず、各組織がサイバーレジリエンスを強化するために取る具体的な行動は、それぞれの状況によって異なります。
しかしながら、組織の最前線での経験や実践的な学びから教訓を導き出すことができます。GCSCCと世界経済フォーラムによるこの最新の研究は、世界のサイバーリーダーが自組織のサイバーレジリエンスを向上させるために用いている実践を概説しています。
サイバーレジリエンス・コンパスは、これらの実践を他の組織と共有することを目的としており、レジリエンスを確立し強化するための相互に関連する7つの分野に分類しています。
リーダーシップ： サイバーセキュリティに関する目標の設定、意思決定、方向性の提示。
ガバナンス、リスク、コンプライアンス： リスクを管理し、コンプライアンス要件を満たすための仕組みに関するもの。
人材と文化： 人材の育成と定着のための戦略と実践。
業務プロセス： 機能の優先順位付け、設計、実装、適応に関するアプローチ。
技術システム： 情報技術、運用技術、クラウド、およびサイバーセキュリティのツールと管理策の設計、導入、維持に関するアプローチ。
危機管理： レジリエンスに影響を与えるインシデントやその他の危機に対応し、そこから回復するために用いられる要素。
エコシステム管理： サプライチェーン、顧客、競合他社、規制当局を含む、組織の幅広いエコシステムに対するアプローチ。
サイバーレジリエンスは理想としてではなく、組織にとっての必須事項として捉えるべきです。
ステークホルダーは、組織内でサイバーレジリエンスのアプローチを包括的に採用するために、これらの提案された横断的分野を検討すべきです。
地域や業界を超えて、主要なサイバー専門家が収集した知見に基づき、各分野はその特定の領域においてレジリエンスが何を意味するかを定義し、組織がレジリエンスを高めるために適用した具体的な実践の例を挙げています。
これらの実践は、専門家が提供した現実の事例研究によってさらに裏付けられています。
究極的には、サイバーレジリエンス・コンパスの目的は、静的な知見を提供するにとどまらず、最前線の経験を交換する手段となり、サイバーリーダーがサイバーレジリエンス戦略を強化するための参照として機能する動的なツールとなることです。
商業街から得られる教訓
最近のM&Sへのサイバー攻撃の事実のすべてはまだ明らかになっていませんが、現状維持型のサイバーセキュリティ対応がもたらすコストの一例を、改めて示すものとなりました。
幸いなことに、サイバーレジリエンス・コンパスなどのリソースを通じて、組織は複雑で変化し続ける環境の中で自らのアプローチをどのように適応させるかについての実践的な事例も得られます。
デジタルへの依存が深まる今日の世界において、サイバーレジリエンスは理想ではなく、組織にとっての必須事項として捉えるべきです。
企業は、自らが次の重大なサイバーインシデントの被害者になると想定しなければならず、リーダーはそれに備え、吸収し、対応し、そこから学ぶための行動を取るべきです。そうしなければ、次に見出しを飾る教訓的な事例となるのは、もはや「もしも」ではなく「いつ」の問題にすぎません。
