悪意あるサイバー活動に対するリスクを低減し、回復力を高めるためには、政府と民間部門がそれぞれのサイバーセキュリティリスク管理のアプローチを進化させなければなりません。
民間部門と政府は、業務とガバナンスのあらゆる側面にサイバーセキュリティを組み込むことで、大きな利益を得られます。
サイバーセキュリティへの投資には費用がかかりますが、サイバーセキュリティへの投資を削減すればさらに多くの費用がかかります。
2022年のデータ侵害の平均コストは435万ドルで、2023年には500万ドルに達すると予想されています。サイバーセキュリティ調査会社サイバー・ベンチャーズは、サイバー犯罪によって世界が被る損失は2025年までに 10.5兆ドルに達すると予測しています。米国証券取引委員会（SEC）によると、「サイバーセキュリティインシデントから生じうる潜在的なコストと損害は甚大です。多くの小規模企業は、サイバーセキュリティ攻撃の標的となり、その結果として廃業に追い込まれています。」
悪意あるサイバー活動に対するリスクを低減し、回復力を高めるためには、政府と民間部門がそれぞれのサイバーセキュリティリスク管理のアプローチを進化させなければなりません。双方は能力をより戦略的に活用し、サイバー脅威に沿った投資の優先順位を決める枠組みを策定する必要があります。
行動喚起
2023年3月、ホワイトハウスは長く待たれていた国家サイバーセキュリティ戦略を公表しました。この「決定的な10年」に向けた道筋を示すこの戦略は、デジタル・エコシステム全体の様々な主体が、リスクの低減、悪意あるサイバー活動の監視、脅威情報の統合と実行可能な指針の作成、脅威主体の妨害、回復力の構築において、それぞれ比較優位を持っていることを認識しています。その目的のため、この戦略は政府と民間部門にこれまで以上の取り組みを求めています。
国家サイバーセキュリティ戦略には、2つの包括的な原則があります。第一に、「サイバー空間において最も能力が高く、最も適切な立場にある主体は、デジタル・エコシステムのより良い管理者でなければならない」ということです。第二に、「経済と社会は、サイバー空間をより長期的に回復力があり防御可能なものにするための意思決定を後押しする必要がある」ということです。政策と事業上の意思決定をこれらの原則に沿わせることは、間違いなく我が国のサイバーセキュリティの体制を高めるでしょう。より安全で回復力のあるサイバー領域は、ビジネスにとっても有益です。セキュリティへの投資には費用がかかりますが、侵害の後始末にはさらに多くの費用がかかります。
セキュリティに対する追加的な責任を担うために必要な投資には、短期的なコストが伴う場合がありますが、同時に、重要インフラと技術の信頼性に対する国民の信頼を高め、生産性と利益を向上させ、連邦政府と民間部門の間でより強力で戦略的な連携を可能にします。要するに、民間部門と政府は、業務とガバナンスのあらゆる側面にサイバーセキュリティを組み込むことで、大きな利益を得られます。
世界経済フォーラムはサイバーセキュリティについて何に取り組んでいますか？
サイバーセキュリティセンターは、進化するサイバーリスクとその体系的な影響を理解するために、リーダーが集う信頼できるプラットフォームを提供しています。相互につながりを深めるデジタル社会において、理解と信頼の構築に注力しています。
セクターを超えた協働と知見の共有を可能にすることで、センターはパートナーがサイバー回復力を強化し、集団的な対応を必要とする課題に取り組むことを支援しています。
政府にとってのパラダイムシフト
従来、連邦政府は、強力なサイバーセキュリティ基準を民間部門が採用することを促すために、自主的な枠組みに依拠してきました。しかし、ソーラーウィンズのサプライチェーン攻撃やコロニアル・パイプラインのランサムウェア攻撃などのサイバーインシデントは、純粋な自主的モデルの限界を明らかにし、サイバーインシデントが連鎖的に波及する影響を浮き彫りにしました。国家サイバーセキュリティ戦略の公表以前においても、2020年と2021年に相次いだ注目度の高いサイバー攻撃により、連邦政府は、重要インフラと技術企業のサイバーセキュリティを向上させるための自主的措置への依存を見直すことを余儀なくされました。
国内ネットワーク上の悪意ある活動の集合的な可視性を高める必要性を認識し、米国議会は2021年重要インフラのためのサイバーインシデント報告法を制定しました。同法は、対象となる事業体に対し、特定のサイバーインシデントを72時間以内にサイバーセキュリティ・インフラ安全保障庁（CISA）へ報告するよう義務付けました。この法律が民間部門の賛同を得たのは、連邦政府が悪意あるサイバーキャンペーンをより早く妨害し、敵対者の戦術に関する重要な知見を得ることを可能にしたからです。
一方、行政府は、より強固なサイバーセキュリティの実践を奨励する取り組みを精力的に進めてきました。サイバー・新興技術担当の国家安全保障担当副補佐官であるアン・ニューバーガー氏は、2021年6月、企業の経営幹部やビジネスリーダーに宛てて公開書簡を執筆し、第三者によるペネトレーションテスターの利用やインシデント対応計画の改善を含む、大統領令14028の5つのベストプラクティスを実施するよう促しました。
2021年7月、バイデン大統領は、重要インフラ制御システムのサイバーセキュリティ改善に関する国家安全保障覚書に署名し、国土安全保障省（DHS）と商務省に対し、重要インフラのサイバーセキュリティ・パフォーマンス目標を策定するよう指示しました。両省は2022年10月に、分野横断的な基準となるサイバーセキュリティ・パフォーマンス目標（CPG）の最初の版を公表し、その後も更新を続けています。CPGが公表されて以来、CPGは、陸上交通や航空を含む新たな連邦サイバーセキュリティ要件の策定に役立っています。
2023年2月、CISA長官のジェン・イースターリー氏と、サイバーセキュリティ担当執行副長官のエリック・ゴールドスタイン氏は、『フォーリン・アフェアーズ』誌に寄稿し、「すべての企業において、サイバーセキュリティの責任は、IT部門から取締役会、CEO、そして上級経営陣のレベルに引き上げられる必要がある」と主張しました。これを受けて、イースターリー長官とゴールドスタイン執行副長官は、「すべてのテクノロジー提供者は、『セキュア・バイ・デフォルト』かつ『セキュア・バイ・デザイン』な製品を作ることから始めなければならない」と宣言しました。両氏はそれ以来、これらの原則の採用を提唱し続けています。
関連して、2022年3月、米国証券取引委員会（SEC）は、サイバーセキュリティリスク管理とガバナンスに関する規則案を公表しました。SECの新たな規則は、上級経営陣と取締役会を実質的に関与させることを目指しています。
とりわけ、この規則案は、登録者がサイバーセキュリティリスクを特定し管理するための方針と手続き、サイバーセキュリティのガバナンス体制、サイバーセキュリティリスクへの対処と軽減における経営陣の役割、そしてサイバーセキュリティの専門知識を持つ個人が登録者の取締役会に所属しているかどうかに関する開示要件を明確にしています。
これらの要件は、取締役会全体でリスク管理とガバナンスの取り組みを進めることの重要性を強調するものであり、資源と投資が、財務、事業、運用上の最も重大な影響を及ぼすサイバーリスクに確実に振り向けられるようにするものです。
国家サイバーセキュリティ戦略は、政権がこれまでに行ってきた取り組みを基盤としています。サイバーセキュリティに対する連邦政府のアプローチは進化しており、その進化は新たな基準につながる可能性がありますが、同時に、重要インフラと技術企業におけるより良いサイバーセキュリティの実践を促し、生産性、国民の信頼、そして最終的な利益を損なうサイバー攻撃のリスクを低減するでしょう。
取締役会メンバーや経営幹部（Cスイート）と関わる際、サイバーセキュリティは、しばしば言葉の壁によって伝わらなくなっています。その結果、経営陣は、自らが何に資金を投じているのか、また、どこに残存するギャップがあるのかを正確に把握できずにいます。
クリス・ヘトナー、ナスダック取締役会エクセレンス・センター インサイト・カウンシル議長
政府は、その一翼として、民間部門のパートナーに対し、新たなサイバーセキュリティ要件と官民連携の安全保障上の価値を実証する責任を負っています。戦略が民間部門により多くのことを求める一方で、政府に代わって大胆な約束も行っています。それは、ランサムウェアに関する国際的な連携や、サイバー犯罪者への断固たる対処から、悪意あるサイバーキャンペーンの妨害や脅威主体のインフラの停止に至るまで、悪意あるサイバー活動に総力を挙げて取り組むという構想です。
政府は既にその多くを実行しています。今年初め、FBIはハイヴ・ランサムウェア集団に侵入し、復号鍵を入手して被害者に配布しました。4月には、FBIと国際的なパートナーが、ハッキングされ盗まれたデータのオンライン販売サイトであるジェネシスを停止させました。これらの行動は、政府が独自の資源と権限を活用し、パートナーと国民へのリスクを低減できることを示しています。
さらに、政府は民間部門に対する新たな基準を策定する際、追加的な負担がすべての政府レベルにわたって調和されるようにすべきです。コンプライアンス・コストがセキュリティへの投資を損なうべきではありません。戦略は、国家サイバー局長室と行政管理予算局を通じて規制の調和を進めることを約束しており、これはDHSのサイバーインシデント報告評議会が、様々なサイバーインシデント報告要件の不整合を解消しようとしている取り組みに似ています。ただし、これらの調和に向けた取り組みは、独立した規制機関の複雑さを乗り越える必要があります。
最後に、政府は、重要インフラの所有者と運営者の相互依存関係や、サイバーインシデントが連鎖的に波及する可能性をより適切に評価するための枠組みを策定しなければなりません。そのような分析のための確かな枠組みは、セキュリティへの戦略的投資を促進し、回復力の向上を可能にします。サイバーセキュリティ・インフラ安全保障庁（CISA）は、まさにそれを進めている最中です。
より賢く働く
サイバーセキュリティのエコシステム（人、プロセス、技術）は、リスクを軽減するために用いられる技術レベルの脅威への対処に主に重点を置いています。サイバーセキュリティのエコシステムは進化を続けているものの、サイバー脅威やインシデントを、事業、運営、財務上のリスクに関連づけて位置づける能力はいまだ不足しています。「重大性」の判断は、インシデントが企業の事業、運営、財務状況に与える影響によって左右されます。
以下は、サイバーインシデントの重大性を判断する際に考慮すべき、事業および財務上の要因の種類を列挙したものです。サイバーインシデントの結果として企業が被りうる、または経験しうるコストと不利な影響の種類には、次のようなものがあります。
• 事業の中断、生産の減少、製品発売の遅延によるコスト。
• 身代金およびその他の恐喝要求に応じるための支払い。
• 盗まれた資産や情報に対する責任、システム被害の修復、攻撃後も顧客や取引先との関係を維持するための優遇措置など、復旧に関するコスト。
• 保険料の増額、組織変更、追加人員や保護技術の導入、従業員研修、第三者の専門家やコンサルタントの起用にかかる費用を含みうる、サイバーセキュリティ保護コストの増加。
• 知的財産の窃取や専有情報の不正利用による収益の損失、または攻撃後に顧客を維持できない、もしくは新たな顧客を獲得できないことによる収益の損失。
• 州および連邦政府当局、ならびに米国外の当局による規制措置を含む、訴訟および法的リスク。
• 従業員および顧客への被害、プライバシー法違反、顧客または投資家の信頼を損なう評判の低下。
• 企業の競争力、株価、長期的な株主価値への損害。
サイバーリスク管理は、事業の回復力を確保するために企業全体の総力を必要とするチームプレーです。求められているのは、全社的リスク管理のリーダーすべてを含む、より包括的なメッセージと協働です。
技術は急速に変化し、サイバー脅威も同様です。今日のリスクを静的に分析するよりも、事業、運営、財務上の検討に基づくサイバーセキュリティへの投資判断を支える情報を取締役会に定期的に届ける仕組みを確立する方が有益です。日常的なガバナンスの一環としてサイバーセキュリティに取締役会が継続的に目を向けることで、取締役はSECの新たな要件に対応できるようになります。
サイバーリスクは取締役と役員が議論すべき課題である
SECの元上級サイバーセキュリティアドバイザーであり、ナスダック取締役会エクセレンス・センター インサイト・カウンシルの議長でもあるクリス・ヘトナー氏は、次のように述べています。「取締役会は、サイバーリスクに関連する財務および事業への影響を低減する最も効果的な方法について、サイバーリスク管理の議論を継続的に取り入れることが不可欠です。この議論は、最高情報責任者（CIO）や最高情報セキュリティ責任者（CISO）だけのものではありません。最高財務責任者（CFO）と法務責任者が主導すべき、より広範なCスイートの議論です。」
ヘトナー氏は、取締役会はもはやサイバーセキュリティを無視することはできないと述べ、次のように指摘しています。「経営幹部の一般的な傾向は、技術的なセキュリティ課題に対処しうる技術ソリューションを正当化するために、定期的な戦術的・技術的報告に頼ることです。」さらに同氏は次のように付け加えています。「取締役会メンバーやCスイートと関わる際、サイバーセキュリティは、しばしば言葉の壁によって伝わらなくなっています。その結果、経営陣は、自らが何に資金を投じているのか、また、どこに残存するギャップがあるのかを正確に把握できずにいます。」
ヘトナー氏とNACDは最近、取締役会がサイバーリスクのエクスポージャーに関する監督をより効果的に行えるよう支援するサービスの立ち上げを支持しました。X-AnalyticsおよびNACDサイバーリスク報告サービスは、組織のサイバーリスクに起因する財務上のエクスポージャーを示す四半期ごとの取締役会報告書を提供する年間サブスクリプションです。このプラットフォームは、サイバー保険業界のリーダーが用いているものと同じ分析手法に基づいています。
この新しいNACDサービスは、サイバーリスクに関するCスイートでの幅広い議論を促進し、取締役会がサイバーセキュリティの技術的側面を超える議論に関与することを支援します。
結論として、サイバーセキュリティへの投資には費用がかかります。サイバーセキュリティへの投資を削減すれば、さらに多くの費用がかかります。
