過去20年間で、企業資産価値の性質は大きく変化しました。現在、フォーチュン500企業の価値の80％は、知的財産（IP）やその他の無形資産で構成されています。資産の「デジタル化」が急速に進むのに伴い、企業リスクも同様にデジタル化しています。その結果、サイバーセキュリティは今や、企業の取締役会が直面しなければならない課題の筆頭に挙げられています。
最近の調査によると、世界中の企業は、知的財産、取引アルゴリズム、破壊または改変された財務・消費者データ、評判の低下により、年間数千億ドルを失っています。さらに、規制上および法的なリスクの増大にもさらされています。そして、状況ははるかに悪化しつつあります。
セキュリティを考慮せずに設計されたサイバーシステムは、モバイル機器の急増と、防犯カメラから冷蔵庫に至るほぼすべての物理的資産がネットワークで接続される「モノのインターネット」の広がりによって、さらに脆弱になっています。加えて、攻撃者側は手法を大幅に進歩させています。数年前までは国家間でしか見られなかったような高度なサイバー攻撃が、今では一般の犯罪者によって実行されています。また、ソニーの事例のように、政治的または経済的な目的で、国家が商業組織に攻撃を仕掛けることもあります。
最後に、サイバーセキュリティの経済構造は攻撃者に有利です。サイバー攻撃は比較的安価で、実行のハードルも低いものです。攻撃者の事業計画は大規模で、利益率も非常に高く設定されています。一方、防御側は攻撃者より一世代遅れがちです。防いだ攻撃について投資収益率を示すのは難しく、法執行もほとんど機能していません。サイバー犯罪者の起訴に成功するのは2％未満です。
十分に理解されていないこうした経済的インセンティブの不均衡は、近年、企業の成長、イノベーション、収益性を促進してきた技術や事業慣行の多くが、同時にサイバーセキュリティを損なっているという事実によって、さらに深刻化しています。
VOIPやクラウドコンピューティングなどの技術は、コスト効率を大きく高める一方で、セキュリティを著しく複雑にします。長いサプライチェーンやBYOD（自分のデバイスを持ち込むこと）の導入など、効率的で、時には不可欠な事業慣行も、経済的には魅力的ですが、セキュリティの観点からは非常に問題があります。
企業の取締役会は、企業の至宝や、苦労して築いた社会からの信頼を危険にさらすことなく、企業の成長と維持のためにテクノロジーを活用しなければならないという難題に直面しています。
全米コーポレート・ディレクター協会（National Association of Corporate Directors）の サイバーセキュリティ・ハンドブック は、企業の取締役会がサイバーリスク管理を強化するための5つの基本原則を示しました。
サイバーセキュリティは全社的なリスク管理の課題であると理解する。サイバーセキュリティを、技術的な解決策だけで対処すべきITの問題と捉えることは、根本的に誤った戦略です。サイバーシステムにおける最大の脆弱性は人、つまり内部関係者です。サイバーセキュリティのコストは、製品投入、M&A、マーケティング戦略など、事業の中核的な意思決定に組み込むことで、最も効率的に管理できます。さらに、相互につながった世界では、ベンダー、サプライヤー、顧客の弱点が自社システムに損害を与えるために悪用される可能性を踏まえ、組織はそれらが生み出すリスクも考慮しなければなりません。
取締役はサイバーリスクの法的影響を理解する必要がある。サイバーセキュリティに関する法的状況は定まっておらず、急速に変化しています。特に複数の法域で事業を展開する組織に一律に適用される基準はありません。各市場で進化する法律や規制を組織的に追跡することが不可欠です。
取締役会はサイバーセキュリティの専門知識に十分アクセスできる必要がある。サイバーセキュリティの課題は、法務や財務上の考慮事項と同じほど事業上の意思決定の中核になりつつありますが、多くの取締役会にはサイバーリスクを評価するために必要な専門知識がありません。多くの取締役会は現在、職員の報告を分析・判断する助けとして、サイバー分野の専門家を取締役に迎えています。少なくとも、監査委員会または同様の委員会の報告事項として、取締役会は定期的にサイバーセキュリティに十分な時間を割くべきです。
取締役は、経営陣が全社的なサイバーリスク 管理体制を整備することを期待事項として明確にする必要がある。最低限、各組織は、部門横断的な権限を持つ上級幹部が率いる全社的なサイバーリスクチームを設置すべきです。このチームは定期的に会合を開き、独立した予算を持ち、組織全体の計画を策定し、その計画に基づく訓練を実施します。
計画に基づき、経営陣はサイバー事象による損害を評価する方法を用意する必要がある。どのリスクを回避、軽減、受容、または保険によって移転できるかを特定する必要があります。そのためには、組織がどのデータをどれだけ失う、あるいは侵害されることを許容するのかを明らかにしなければなりません。そのうえで、基本的なリスクと高度なリスクへの防御の間で、リスク軽減予算を適切に配分する必要があります。
組織がこれらの原則に従えば、持続可能なサイバーリスク管理システムの確立に向けて、大きく前進できるはずです。
著者：ラリー・クリントンは、インターネット・セキュリティ・アライアンス（ISA）の会長兼最高経営責任者です。
画像：2013年6月24日、ワルシャワのオフィスで、ノートパソコンを持つ男性に二進コードが投影されている様子を描いたイラスト。REUTERS/Kacper Pempel
