シンチュリオン・グループの取締役会長として、リチャード・マーシャル氏は、同社がインドから中東を経てヨーロッパへと敷設を進めている光ファイバーネットワークのセキュリティ確保に深く関わっています。
「トランス・ヨーロッパ・アジア・システム（TEAS）」という壮大なプロジェクトは、陸と海を合わせて数千マイルもの深さに埋設されることになるため、その建設は極めて困難なものとなるでしょう。 さらに事態を複雑にしているのは、このケーブルの敷設地となる国の多くが互いにあまり仲が良くないという事実であり、これがサイバーセキュリティ上の潜在的な問題を引き起こす恐れがあります。
マーシャル氏によると、 15 年前に取締役としてのキャリアを始めた当時、彼や他の取締役たちは、このインフラのセキュリティ確保という責任を、ITセキュリティ担当の「プロペラヘッドたち」に委ねていたことでしょう。 しかし今日では、多額の損害をもたらす ランサムウェア攻撃 や データ漏洩 が企業の収益をますます圧迫していることから、取締役や監査委員会は、こうした責任をもはや無視することはできないと認識している、と彼は述べています。
取締役たちは、より意識を高め、直接関与しなければならないことを認識しています。 実際、 ビジネスアナリスト企業のガートナーによると、 現在、88％の企業がサイバーセキュリティを技術的な問題ではなく、ビジネス上のリスクとして捉えているとのことです。
「その変化を目の当たりにしてきました」と、マーシャル氏は語ります。同氏は他にも2つの取締役会の会長を務め、サイバーセキュリティのコンサルタントとしても活動しています。 「取締役会はますます高度化しています。」 また、彼らは若いため、技術的な知識に精通している傾向があり、リスク軽減に取り組む必要があることを自覚しやすいのです。」
事態に拍車をかける要因：政府による規制圧力が高まる可能性 。 例えば昨年、米国証券取引委員会（SEC） は、上場企業に対し、取締役会がサイバーリスクをどのように監督しているかを含め、サイバーセキュリティガバナンスの実践状況を開示することを義務付ける新たな規則案 を公表しました。 この発表は、 でかなりの議論と物議を醸しています。。 また、組織はテクノロジーやサイバーセキュリティの問題に精通したメンバーを任命する義務はありませんが、SECが提案している規則案では、そうしたメンバーを任命したかどうかを開示することが義務付けられることになります。
多くの組織にとって、これは問題となる可能性があります。というのも、取締役は通常、IT分野ではなくビジネス分野の出身者であることが多いからです。 確かに、テクノロジー分野に精通した取締役を任命している上場企業の割合は最近増加傾向にありますが、デロイトによると、その割合は依然として わずか約 17% に留まっています。 さらに、DHR Globalが最近実施した「 」調査（ ）によると、取締役会に現職または元最高情報セキュリティ責任者（CISO）が在籍しているのはわずか1.4％であり、 65％がサイバーセキュリティに関する指揮および報告の責任を監査委員会に委任していることが明らかになりました。
確かに、優秀なCISOは ますます見つけるのが難しくなってきていますが、SECは、それだけでは不十分だと述べています。
「サイバーセキュリティはすでに多くの取締役会にとって最優先事項の一つとなっており、サイバーセキュリティインシデントやその他のリスクは、企業にとって最大の脅威の一つと見なされています」と、同委員会（ ）は、規則改正を推進する中で説明しました（ ）。 「したがって、投資家は、登録企業への投資を検討する際や、登録企業の取締役選任に関する議決を行う際に、取締役の中にサイバーセキュリティの専門知識を有する者がいるかどうかの開示が重要であると考える可能性があります。」
[関連記事：優れたサイバーガバナンスは、強固な取締役会体制から始まります]
では、テクノロジーに不慣れな取締役は、どのようにしてサイバーセキュリティに関する知識を身につければよいのでしょうか？ 専門家によると、 認定情報システムセキュリティプロフェッショナル（CISSP） の資格を持っていたり、1日だけCISOの立場を体験したりする必要はないとのことです（もっとも、どちらのアプローチも決して無駄にはなりません）。 むしろ、彼らは、今後導入される規制に対応し、より適切な監督を行うためのいくつかの対策を提案しています。
1. 取締役会に、少なくとも1名のサイバーセキュリティの専門家を任命してください
MITスローン・サイバーセキュリティ（CAMS）の執行ディレクターであるケリ・パールソン博士は、 30 年以上にわたりテクノロジーとビジネスの交差領域について研究を続けており、サイバーセキュリティに関する数多くの論文を発表しています。 したがって、同業界で高まるサイバーセキュリティ上の脅威に対処するため、サイバーセキュリティの専門知識を求めていたTMFヘルス・クオリティ・インスティテュートが、パールソン氏に理事への就任を打診したのは、理にかなったことでした。
「[取締役会は] 若年層が多いため、技術的な知識に精通している傾向があり、リスク軽減に取り組む必要があることを認識しやすいのです。」シンチュリオン・グループの取締役会会長、リチャード・マーシャル氏
他の取締役もサイバーセキュリティに関心や見解、そしてある程度の経験を持っていますが、パールソン氏は、自身の役割は重要な課題についてより深い洞察と指針を提供することだと述べています。
「取締役会はますます成熟してきており、メンバーもその責任を理解していると思います」と彼女は言います。 「彼らはビジネスリスクを管理しており、サイバーセキュリティもビジネスリスクの一つです。 「しかし、それらは同じものではありません。ですから、私の仕事の一部は、彼らが下すサイバーセキュリティに関する決定を精査し、それが妥当なものかどうかを確認することです。」
一部の企業では、サイバーセキュリティの専門知識において、さらに充実した人材基盤を構築しています。 が最近実施したガートナーの調査（ ）によると、現在10％である取締役会にサイバーセキュリティ専門委員会が設置されている割合は、 2025年までに 40％に達すると予測されています。
[関連記事：サイバーセキュリティに対する連邦政府の監督強化に、取締役会はどのように備えているか]
ガートナーのリサーチ・ディレクターであるサム・オリアエイ氏は声明の中で、「多くの取締役会が、適切な資格を持つ人物が主導し、機密性の高い環境下でサイバーセキュリティに関する事項を議論できる専門委員会を設置しています」と述べました。 「ガバナンスと監督体制におけるこの変更は、取締役会と最高情報セキュリティ責任者（CISO）との間の 関係に影響を及ぼす可能性があります。。」
2。 サイバーセキュリティのガバナンスを重要な議題の一つとして位置づける
定款では、取締役会は少なくとも年に1回は開催しなければならないと定められていますが、その開催頻度は州によって異なる傾向があります。 場合によっては、年に2回、あるいは4回になることもあります。 専門家によると、理想的な状況では、その頻度は6～8週間ごとであるべきだそうです。
その主な理由は、ビジネスやリスクに関する状況が瞬く間に変化しうるためであり、取締役会が1月に下した決定も、数週間あるいは数ヶ月後にはもはや適切でなくなっている可能性があるからです。 マーシャル氏によると、これは特にサイバーセキュリティにおいて当てはまり、あらゆる議題において定期的に議論されるべきテーマでなければならないとのことです。
「取締役会に助言をする際、私は毎回、CISOを招いて簡単な報告をしてもらうよう勧めています」と彼は言います。 「それにより、CISOは取締役会との信頼関係を築くことができます。」 また、これは取締役の理解を深めるのにも役立ちます。特に、CISOが ビジネス的な観点から取締役とどのように対話すべきかを知っている場合、。」
3。 リスクの先にあるレジリエンスに注目しましょう
パールソン氏は、取締役会メンバーはサイバーセキュリティに対して異なるアプローチを取る必要があると述べています。すなわち、サイバーセキュリティを単に技術的リスクの軽減と捉えるのではなく、サイバー攻撃を受けた場合の復旧方法なども含む「レジリエンス」を優先すべきだということです。
「」もし御社でサイバーインシデントが発生しても、金銭的な損失を被らなければ、素晴らしいと思いませんか？ データは失われませんか？ システムのダウンタイムはないのでしょうか？ 評判への悪影響はないのでしょうか？ それが、サイバーセキュリティにおいて私たちが目指すべき方向性です。”MITスローン・サイバーセキュリティ（CAMS）の執行ディレクター、ケリ・パールソン博士
そのためには、「攻撃は概ね防げる」という考え方から、「攻撃は必ず起こる」という現実を受け入れる姿勢が必要であり、被害を最小限に抑えるための計画を立てる必要がある、と彼女は述べています。
「取締役としては、どの企業もいずれ何らかの形で情報漏洩や攻撃に見舞われる可能性が高いという視点を持つ必要があります」とパールソン氏は述べています。 「また、御社がダウンタイムを発生させることなく、迅速に復旧できることも確認しておきたいでしょう。 」 つまり、もし御社でサイバーインシデントが発生しても、金銭的な損失を被らなければ、それは素晴らしいことではないでしょうか？ データは失われませんか？ システムのダウンタイムはないのでしょうか？ 評判への悪影響はないのでしょうか？ 「それが、サイバーセキュリティにおいて私たちが目指すべき方向性です。」
4。 研修を受けてみましょう――サイバースキルこそが、より賢明なサイバーガバナンスの原動力となります
専門家によると、取締役会にサイバーセキュリティ担当者がいても、ほとんどの取締役は、この分野について少し研修を受けていれば、より効果的に職務を遂行できるとのことです。 例えば、パールソン氏は、自身が在籍するマサチューセッツ工科大学（MIT）のサイバーセキュリティ・ガバナンス・センター（ ）が、取締役会メンバーにサイバーセキュリティ・ガバナンスの基礎を習得してもらうために特別に設計された講座を提供していると述べています。 同様の講座は、 （ハーバード大学）、 （ウォートン・スクール）、および （サイバーリスクGmbH）でも開講されています。
さらに、マーシャル氏は、加入者のセキュリティを可能な限り確保することに強い関心を持つ のサイバー保険 の提供業者との提携を検討することを推奨しています。 また、外部のコンサルタントも有効な選択肢の一つになり得ると、彼は付け加えています。
[関連記事：サイバー保険は、まるで「表でも裏でも勝てる」ように見えるかもしれませんが、必要な時に確実に保険金が支払われるようにするための戦略があります]
5。 さあ、今すぐ集まりましょう
取締役やCISOは必ずしも同じ言葉で話しているわけではありませんが、パールソン氏によれば、 共通の基盤 を見出すケースがますます増えているとのことです。 彼女は、取締役会メンバーがCISOとの連携を強化し、重要なサイバーセキュリティの問題に常に目を光らせるよう推奨しています。
「CISOを取締役会に報告させることは、組織内での存在感を高めるのに役立ちますが、取締役とセキュリティ担当幹部との間に強固なつながりを築くことにはつながりません」と彼女は述べています。
パールソン氏はさらに、自身の調査により、一部の取締役やCISOが、経営陣会議の合間に積極的に連絡を取り合い、サイバーセキュリティに関するニュースや、企業に損害を与える可能性のあるインシデントについて話し合っていることが分かったと付け加えています。 お互いをよく知っているため、サイバーセキュリティインシデントが発生した際に、連携して対処するための準備がより万全である傾向があります。
「サイバーインシデントが発生している最中に、関係を築くようなことはすべきではありません」とパールソン氏は述べています。 「それは、難しい話し合いをしなければならないずっと前に、行われるべきものです。」
