チューリッヒ保険グループとアトランティック・カウンシルによる新たな報告書は、サイバー障害の年間コストが、つながった世界で事業を行うことの利益を上回り始める転換点に、我々が近づいていることを示している。アトランティック・カウンシルのブレント・スコウクロフト国際安全保障センターにあるサイバー・ステートクラフト・イニシアチブのシニアフェローであるジェイソン・ヒーリーが、この驚くべき発見が企業にとって何を意味するのかを解説する。
なぜこの報告書に取り組んだのですか？
我々を動かしたのは次の問いだった。つながっていることで得られる利益よりも、サイバーセキュリティのコストの方が多くかかり始めているかどうかを、どうすれば知ることができるのか。我々の知る限り、この問いがこれまで本格的に問われたことはなかった。
報告書における最大の単独の発見は何ですか？
最も衝撃的な発見は、年間ベースで見ると、先進国がある年に費やしているサイバーセキュリティへの支出が、その年に得られる年間の便益を上回っているということだ。少し直感に反するように思えますよね。
では、インターネットから切り離すべきなのでしょうか？
いいえ。年間のサイバーセキュリティコストは、通常、運用費用か一時的な支出だからです。例えば、大企業がハッカーの攻撃を受けたばかりであれば、復旧に多額の費用を費やさなければなりません。しかし、つながっていることで得られる利益、例えば業務プロセスの合理化や顧客とのより良い関係構築などは、コストとは異なり、時間の経過とともに積み重なっていく傾向があります。そのため、報告書の基本ケースでは、2030年までの累積的な世界全体の便益が、コストをほぼ160兆ドル上回っています。
つながっていることで得られる利益は、コストとは異なり、時間の経過とともに積み重なっていく傾向があります。そのため、報告書の基本ケースでは、2030年までの累積的な世界全体の便益が、コストをほぼ160兆ドル上回っています。”
しかし、CEOは四半期ごと、年ごとに業績を管理しなければなりません。では、個々の企業は報告書をどのように解釈すべきでしょうか？
まず、企業がこの報告書をどのように解釈すべきでないかから話しましょう。報告書を、成長とイノベーションへの投資を妨げるものと見なしてはなりません。そう見なしてしまえば、累積的な便益の可能性を逃してしまいます。そして、それは重大です。報告書における最悪シナリオと最良シナリオの差は、2030年までの世界のGDPで100兆ドルを超えるからです。
では、企業はその可能性を引き出し、コストを最小化するために、どのような対策を講じるべきでしょうか？
第一に、多くの企業は、今日の脅威に対してさえ必要なサイバーセキュリティを備えていません。脅威が悪化した場合は、なおさらです。報告書は、採用すべき基本的な管理策を推奨しています。第二に、管理策だけでは将来の脅威に対して十分ではありません。そのため、サイバー事象に対して事業の回復力を高める投資は、非常に大きな効果をもたらす可能性があると我々は考えています。すべての脅威を防ぐことはできないため、ハッカーによるものであれ、大規模なインターネット障害によるものであれ、攻撃を受けた際には素早く立ち直り、障害の時間を抑えられるよう備えておく必要があります。
これらのリスクを理解し管理する責任は、どこから始まるのでしょうか？
我々は、企業は取締役会から末端まで、統治されるべきだと考えています。取締役会がより馴染みのある金融の言葉で言えば、この長期的な賭けに直面した場合、基本的なサイバーセキュリティとレジリエンスがヘッジ手段となります。これは、企業に重大な影響を及ぼしかねない、関与しているリスクの高いポジションとして捉える必要があります。ですから、長期的な賭けをカバーするための投資を、本当に行わなければなりません。
本記事は Zurich Knowledge Hubとの協力により掲載されたものです。掲載は、世界経済フォーラムによる見解を支持することを意味するものではありません。
The Agendaの最新情報を把握するには、 毎週配信のニュースレターにご登録ください。
著者：ジョン・スコットは、チューリッヒのグローバル・コーポレート部門のチーフ・リスク・オフィサーです。
画像：ベルリンで撮影されたこのイラスト写真では、コンピューター画面の前で手がシルエットになっている。REUTERS/Pawel Kopczynski
