企業や政府は、国家が支援するサイバー諜報活動から犯罪組織によるランサムウェア攻撃に至るまで、絶え間ないサイバー脅威に直面しています。
多くの先進的な組織が、サイバーリスクのエクスポージャーを把握して軽減し、規制をより適切に遵守するために、サイバーリスク評価を活用しています。
フランスは、サイバーリスク評価の利用を義務付けることを検討しており、世界に先駆けて先導的な役割を果たしています。
デジタル時代において、サイバーセキュリティのリスクは常に存在する脅威です。企業や政府は、国家が支援するサイバー諜報活動から犯罪組織によるランサムウェア攻撃に至るまで、絶え間ないサイバー脅威に直面しています。これらの脅威の影響は壊滅的となり得て、経済的混乱や公共の安全への脅威をもたらす可能性があります。
これに対応して、世界各国の政策立案者は、規制によって経済のサイバー態勢をどのように強化できるかを検討しています。その一例がデジタル・オペレーショナル・レジリエンス法（DORA）であり、欧州議会で最近採択されたもので、金融グループが利用するテクノロジーベンダーのセキュリティについても責任を負わせるものです。また、ネットワーク情報セキュリティ指令（NIS2）もその一例で、EUにおけるサイバーセキュリティの全体的な水準を高めるための法的措置を定めています。
企業は規制の必要性を理解している
脅威の状況が拡大する中、企業はリスクに対処し軽減するため、規制をますます支持しています。2023年世界経済フォーラム「グローバル・サイバーセキュリティ・アウトルック」では、サイバーエグゼクティブが、サイバーセキュリティ規制を、業界全体のサイバーリスクを低減するための効果的な手段とみなす傾向を強めていることが示されています。
多くの先進的な組織は、サイバーリスクのエクスポージャーを把握して軽減し、規制をより適切に遵守するために、サイバーリスク評価も活用しています。サイバーリスク評価は、ネットワークセキュリティ、データ保護、インシデント対応能力などさまざまな要素に基づき、組織のサイバーセキュリティ態勢を客観的に測定するものです。これらの評価により、組織はサプライチェーンやサイバーセキュリティ防御における脆弱な領域を特定し、是正措置の優先順位を決めることができます。
政策立案者も、市場全体におけるサイバーリスク評価の有用性や、増え続けるサイバー規制要件を支え、経済圏内のサイバーレジリエンスを向上させるための効果的な政策手段となりうることに、徐々に気づき始めています。
規制ツールとしてのサイバーリスク評価
フランスは、サイバーリスク評価の利用を義務付けることを検討しており、世界に先駆けて先導的な役割を果たしています。フランスのサイバースコア法は、2022年3月3日に制定され、一般向けのデジタルプラットフォームに対するサイバーセキュリティ認証の取得を義務付けるものです。2023年10月1日に施行されます。
この画期的な法律により、フランスで事業を展開する上位500の大手ECサイトに対して、サイバースコアの取得が義務付けられる予定です。計画では、これを電力網や医療などの戦略的企業1万社にまで拡大することを目指しています。
規制による第三者リスクへの対応
EUにおける新たなサイバー規制の多くは、デジタルサプライチェーンと第三者プロバイダーを管理するために設計されています。
例えばDORAは、金融システムのすべての関係者が、サイバー攻撃やその他のリスクを軽減するための必要な保護措置を備えることを目指しています。この法律により、企業はあらゆる種類のICT関連の障害や脅威に耐えられるようにすることが求められます。経済の多くの分野と同様に、金融セクターも大小を問わず第三者のテクノロジーベンダーに大きく依存しています。
このことは、最近次の事例で明らかになりました。CFTCは、第三者プロバイダーであるION Cleared Derivatesに対するサイバー攻撃を受けて、2023年2月17日に終了する週の週次「トレーダーのコミットメント（CoT）」レポートの公表を延期しました。先物業界協会のデータによると、この攻撃は、12月時点で未決済となっていた1兆ドルを超える株式、商品、金利先物を含む巨大な市場に影響を及ぼしました。
サイバーリスク評価の義務化を導入することで、フランスはサイバーリスクの把握を積極的に管理し、サプライチェーン全体におけるデジタルレジリエンスの向上を促進します。
EU全域でのサイバーリスク評価の義務化
この法律は、EUおよび世界の政策立案者にとって、サイバーセキュリティとデジタルレジリエンスを向上させるための同様の措置を検討するよう促す行動の呼びかけとなるべきです。
銀行やクレジットカード会社などの貸し手は、消費者への融資に伴う潜在的なリスクを評価し、不良債権による損失を軽減するために信用スコアを利用しています。
同様に、サイバーリスク評価は、規制当局や市場に対して組織のサイバーセキュリティ態勢を客観的に測定する手段を提供し、規制上の判断に役立て、サイバーインシデントのリスクを低減し、EUのDORAなどの規制を効果的に遵守することにつなげることができます。
SecurityScorecardは、EUが、フランスのモデルに類似したサイバーリスク評価制度を全加盟国に義務付けることを検討すべきだと考えています。これにより、EU全域の組織にとって公平な競争条件が整い、デジタルエコシステムのすべての関係者がサイバーセキュリティを真剣に受け止めるようになるはずです。これは、サイバー関連のさまざまな規制要件に応じて異なる形をとる可能性があり、必ずしも法律によるものとは限りません。ガイダンス、規制解釈、あるいは認証を通じて実現されることもあり得ます。DORAの規制当局は、サイバーリスク評価を含みうるICTリスク管理ツールに関する共通の規制技術基準の草案を策定しています。
これは万能の解決策ではありませんが、サイバーリスク評価を「あれば望ましい」ものではなく「不可欠」なものとして確保する方向に進むことは、サイバー依存を高め、EUのデジタル化の取り組みを支えることになるでしょう。
