新技術は急速に進化しており、それに伴い新たなサイバーセキュリティ上の脆弱性が生まれています。
企業は、サイバーリテラシーの向上を含め、レジリエンスを高めるためにさらなる取り組みを行うことができます。
地政学とサードパーティリスクに焦点を当てることは、サイバーリスクに関するより広範な議論への入り口となります。
大企業と中小企業を問わず、サイバーセキュリティを軽視することは、ますま す維持しがたくなっています。
今週、スイスのダボスで開催された世界経済フォーラム年次総会で発表された「グローバル・サイバー・アウトルック2023」は、世界中の地政学的・経済的な不確実性が、壊滅的となりうるサイバー攻撃の脅威を悪化させており、あらゆる分野の企業のリスクを高めていることを明らかにしました。
サイバーセキュリティに対する意識と備えの強化は進展してきましたが、企業がレジリエンスを高めるためにできることはまだ多くあります。サイバーリテラシー、コミュニケーション、情報共有の改善もその一つです。
地政学的リスクがサイバー脅威を高めている
過去1年間で、地政学的リスクは世界情勢の中心に戻ってきており、サプライチェーンを混乱させ、エネルギーから食料商品に至るまでの主要産業に支障をきたしています。新技術も急速に進化しており、それに伴い新たな脆弱性が生まれています。攻撃者の中には強い地政学的動機を持つ者もおり、彼らはそうした脆弱性を悪用するのが素早いことがよくあります。
実際、新たな報告書によると、サイバーセキュリティの経営幹部の93%と、その事業部門の同業者の86%が、今後2年以内に壊滅的なサイバー事象が発生するリスクを「高い」または「やや高い」と見ています。そうした事象には、例えば、深刻な被害をもたらすランサムウェア攻撃や、機密性の高い消費者データの侵害などが含まれ得ます。いずれも大規模な混乱を引き起こし、評判面と財務面で大きなコストを生じさせるでしょう。
報告書が指摘するように、リスクの高まりにより、回答者の50%がすでに事業を行う国を見直しており、その他の回答者は、地政学関連のサイバー攻撃の結果としての事業の混乱や評判の毀損を懸念しています。
相互に接続された事業運営が新たなリスクをもたらす
大規模な攻撃への懸念は、現代の事業運営が相互に接続されていることも一部反映しています。デジタル・トランスフォーメーションにより技術的な相互依存関係が生まれていますが、その規模と性質は、これまで十分に理解されていないことが多いのです。
消費者データと技術はサプライチェーン全体で共有されるようになっており、その結果、サイバーセキュリティ事象は、ある組織から別の組織へ、さらには国境を越えて急速に「連鎖」しかねません。
サードパーティリスクへの認識と懸念は、過去1年間で急速に高まっています。回答者の合計90%が、サードパーティのサイバーレジリエンス、特に組織のデータと直接接続している、またはそれを処理している企業のサイバーレジリエンスについて懸念を表明しました。
その結果、報告書によると、リーダーは組織へのサードパーティによるアクセス(73%)またはデータ(66%)に対する統制を強化しており、意思決定者はサイバーリスクの軽減に取り組んでいます。特筆すべきは、事業部門とセキュリティ部門の経営幹部が、最優先事項として、サイバーレジリエンスを事業戦略に組み込むことを挙げた点です。
世界経済フォーラムはサイバーセキュリティにおいて何をしているのか。
サイバーセキュリティセンターは、リーダーが集まり、進化するサイバーリスクとその体系的な影響を理解するための信頼できるプラットフォームを提供しています。同センターは、ますます相互接続が進むデジタル社会における理解と信頼の構築に重点を置いています。
セクターを超えた連携と知見の共有を可能にすることで、同センターはパートナーがサイバーレジリエンスを強化し、集団的な対応を必要とする課題に取り組むことを支援しています。
情報共有は改善しつつあるが…
喜ばしいことに、数年にわたり取締役会を支配してきた、技術者と非技術者の対立構造は変わりつつあります。特に取締役会の側で、サイバーリスクとは何か、そしてそれに対処する上で自らが果たすべき役割について、認識が一致し、理解が深まりつつあります。取締役会はサイバーリスクについてより考えるようになり、サイバーの専門家の意見に耳を傾けるようになっています。報告書によると、セキュリティ責任者の56%が少なくとも月に1回は取締役会と面談しています。
依然として問題となっているのは、事業部門のリーダーが、サイバー問題が組織にもたらすリスクを明確に説明できていない点です。そのため、そのリスクへの最善の対処方法について合意を得ることがより難しくなっています。報告書が示唆するように、サイバーの専門家は取締役レベルの経営幹部がすぐに理解し、行動に移せる形でセキュリティ上の課題を提示すべきであり、一方で事業部門のリーダーは、組織全体のサイバー対応能力についてより大きな責任を引き受けるべきです。
…熟練人材の採用は依然として課題
さらに、サイバーリスクの特定、評価、管理や、大規模なサイバー事象への対応を行える適切な人材を見つけることが重要です。しかしそのためには、長年続いている技術人材の不足に対処する必要があります。
現状では、サイバーリーダーの64%と、その事業部門の同業者の59%が、サイバーリスク管理において人材の採用と定着を主要な課題として挙げています。憂慮すべきことに、調査回答者の半数未満しか、サイバー攻撃に対応できる適切なスキルを持つ適切な人材を確保していると報告していません。
幸いなことに、近年この問題に対する共通認識が深まっており、必要な人材採用プログラムが策定される可能性が高まっています。これにより、危機管理能力や、問題を創造的かつ従来とは異なる方法で考える能力を備えた人材を含め、より大規模で包括的な多様な人材のプールを生み出す助けとなるでしょう。また、サイバーセキュリティは高度に技術的なものだという誤解を解消する助けにもなります。実際にはそうとは限らないからです。
報告書はまた、事業部門のリーダー(76%)とサイバー経営幹部(70%)が、データプライバシー法とサイバーセキュリティ規制を、サイバーリスクを低減するための効果的な手段と見なす傾向を強めていることも示しています。コンプライアンスは課題となり得ますが、同時に、株主からの期待の高まりとともに、規制がサイバーセキュリティへの取り組みを促しています。
セキュリティを重視した文化を構築するためには、組織がサイバーセキュリティ情報を容易に測定・分析可能なものに変えるための共通言語と指標を見出す必要があり、これは前向きな動きです。
ただし、侵害が発生した場合に、何を、いつ報告すべきかについての明確な規制を策定することは、依然として課題です。組織内の同一階層内(組織全体で同じレベル)でのサイバー情報共有は拡大しており、通常は、上下(あらゆる階層を通じた)の情報共有よりも優先されています。この点について報告書は、サイバーリスク管理とベストプラクティスを垂直方向にも組み込む必要性を指摘し、頻繁で有意義な議論によって明確さと理解を向上させられることを示唆しています。
地政学とサードパーティリスクへの現在の注目は、サイバーリスクに関するより広範な議論への入り口となります。状況は改善しつつあるものの、大半の組織や企業が大規模なサイバー事象に対処する体制が整っていると確信できるほどの速さではありません。レジリエンスと備えは、戦略の中心に据えられるべきです。
これを実現するために、サイバーセキュリティの専門家はメッセージとデータの伝え方を改善する必要があり、一方でリーダーは、サイバーリスクが企業統治と投資判断にとって何を意味するのかを、より的確に判断しなければなりません。
本記事は元々 Arab Newsに掲載されたものです。
