サイバー攻撃、サイバー侵害、サイバー犯罪は新しい問題ではありません。多大なコストを伴い、広範に及び、ますます巧妙化していることは、広く認識されています。毎週新たな侵害が公表されており、最近では、大手インターネットサービスプロバイダーで、2年以上にわたって気づかれなかった事案が明らかになりました。こうした侵入に対する最善の防御策は、サイバーレジリエンスです。サイバー脅威から自分自身と自社を守る能力を築き、攻撃が起きた場合に立ち直る力を養うことです。
サイバーレジリエンスは重要な戦略課題であり、取締役会や経営幹部が真剣に取り組む必要性はいくら強調してもしすぎることはありません。多くの業界で、サイバーレジリエンスは競争優位の源泉となり、M&Aにおける企業価値評価の要因となるほか、柔軟で相互につながったバリューチェーンを実現する重要な基盤にもなります。組織が技術革新の恩恵を受けるまでの速さを左右するため、価値の創出方法にも影響します。では、サイバーレジリエンスを築くには何が必要で、取締役会や経営幹部はそのプロセスをどう加速できるでしょうか。
サイバーレジリエンスを技術領域だけに委ねることはできません。ボストン コンサルティング グループ（BCG）が最近発表した調査によると、侵害の70%超は技術以外の脆弱性を悪用しています。たとえば、攻撃者がユーザーをだまして正規の認証情報を開示させることがあります。ここから得られる教訓は、組織のサイバーレジリエンスを技術的なIT領域にとどめず、人材、企業文化、プロセスの領域にまで広げなければならないということです。企業の防御戦略と実践は、各部門、各組織単位、各地域にまたがる、あらゆる階層のすべてのプロセスを含め、企業活動のすべてに適用されるべきです。そうすることで、適切なセキュリティ意識を持つ文化を育むことができます。サイバーレジリエンスに対する最終的な責任は、取締役会と経営幹部が負います。企業の各階層にこの文化的変革を浸透させるのは、彼らの役割です。
技術領域では、ITの実装を担う役割（多くの場合、最高情報責任者が担当）、ITセキュリティを担う役割（通常、最高情報セキュリティ責任者が担当）、リスク管理を担う役割（最高収益責任者が担当することが多い）を分けるため、組織内で職務と報告系統を区分する必要があります。多くの場合、この組織変更を実現するには、取締役会レベルの後押しが必要です。
サイバー犯罪への対応は、多くの取締役会にとって新たな課題です。そうした場合、取締役会の議題にサイバーレジリエンスを定期的に取り上げることが特に重要です。この問題に対する取締役会の認識が比較的低いためです。取締役会は、新たなサイバーレジリエンスを備えた状態への移行を監督するために、相当な労力と注意を注がなければなりません。
取締役会は、このテーマに関する知識と、対処する際の自信を高めることに注力すべきです。何よりもまず、サイバーレジリエンスについて経営陣に問いかけ、検討を促すために、取締役会は問題への対処に役立つ一連の原則や優れた実践例を身につける必要があります。どのように行動すべきかについては、さまざまな一般的な提言があります。BCGは最近、こうした課題に取り組む取締役会向けのガイドラインを作成し、世界経済フォーラムを支援する機会を得ました。同フォーラムと業界横断型ワーキンググループは、10の原則を特定し、取締役会がそれらを定着させるための実践的なツールを提示しました。これらの原則は、責任を引き受けること、サイバー脅威について理解を深めること、組織内に責任の所在を明確にすること、そしてサイバーレジリエンスの計画を実行することを重視しています。また取締役会は、自組織の現在のリスク姿勢を定めるために、経営陣とリスク許容度について議論する必要があります。
さらに取締役会には、組織が現在直面している、また将来直面する可能性のあるリスクのパターンを理解、評価、定量化するためのツールが必要です。まず、組織にとって最も重要な情報資産を特定し、それらに対する最大のリスクを明らかにするとよいでしょう。次に、経営陣がこれらのリスクをどのように管理しようとしているのか、その計画にどれほどの費用がかかるのかを把握します。同フォーラムの刊行物には、取締役会レベルでサイバーリスクを分析し理解するための提言が、取締役会向けサイバーリスク・フレームワークとして盛り込まれています。
新興技術は大きな変化と機会をもたらしますが、企業を深刻な新たなリスクにもさらします。破壊的技術の例として、ビッグデータ、モノのインターネット、自動運転車が挙げられます。取締役会は、破壊的技術によってサイバーリスクへのエクスポージャーがどのように変わるかを理解する必要があります。同フォーラムの刊行物は、ベンダー管理、技術ライフサイクルのセキュリティ、変化への迅速な適応力などの課題について、取締役会レベルの関係者に向けた知見を提供しています。
多くの組織で、サイバーレジリエンスとサイバーリスク管理はまだ新しい分野ですが、急速に進展しています。取締役会は、その発展を支援し加速させる独自の立場にあります。それは、組織の価値創出に伴うリスクを低減するためであれ、ビジネスパートナーや消費者にとって世界を少しでも安全にするためであれ、同じです。取締役会が自らの理解を深め、適切な質問をし、全体としてサイバーレジリエンスを高めるために必要なツールを備えることが不可欠です。
世界経済フォーラム、ボストン コンサルティング グループ、ヒューレット・パッカード・エンタープライズによる報告書は、ダウンロードできます。
