The SolarWinds supply chain hack in 2020 was beyond bad. この事件により、 に名を連ねる100 社の企業 および政府機関の機密データが流出し、ネットワーク管理会社の株価は急落しました。 しかし、その後同社を襲った事態も、同様に深刻なものであり、しかも個人的なものでした。
投資家である は、 2021年11月において、 の現・元取締役らを相手取り、サイバーセキュリティ上のリスクを適切に監視しなかったことがハッキングにつながったとして提訴しました。
この訴訟は、ただ傍観してサイバーセキュリティの監督業務を経営陣に委ねている取締役たちにとって、警鐘となりました。 SEC（米国証券取引委員会）による審査中である の新たな取締役会のガバナンスおよび報告規則をはじめとする、新たな法的・規制上の要件により、こうした「手を出さない」アプローチは、企業のセキュリティにおいてファイアウォールに依存することと同様に、もはや時代遅れになりつつあります。
現在、サイバーセキュリティに関する取締役会の監督体制は極めて不十分です。 実際、ハーバード・ビジネス・レビューに掲載された、MITスローン・サイバーセキュリティ（CAMS）コンソーシアムによる の最近の調査（ ）によると、多くの取締役会はサイバー攻撃に対処する準備ができていません。回答者の23％が、サイバーセキュリティに関する取締役会の計画や戦略は策定されていないと答えています。
また、ガートナーの調査（
）によると、取締役会の 88％がセキュリティ侵害を重大なビジネスリスクと認識しているにもかかわらず、取締役会レベルの サイバーセキュリティ委員会を設置しているのはわずか 12％に過ぎません。
問題点としては、取締役の技術的専門知識の不足が挙げられます。これは、SECが提案している規則が解決を目指している点でもあります。 セキュリティ技術に詳しくないため、専門用語や頭字語がふんだんに使われている経営陣向けの説明資料を理解するのは困難です。
さらに悪いことに、取締役たちは、サイバー脅威に対する自社のネットワークや資産のセキュリティを評価するために、どのような質問をすべきか分からないことがよくあります。
Log4j のような、大きな話題となった脆弱性が報じられた直後、人々が必ず口にする質問が一つあります。それは、「私たちはこれに対して守られているのでしょうか？」というものです。 たとえ答えが「はい」だとしても、その質問は本質を捉えていません。悪意のある攻撃者は、常に新たな脆弱性を探り、より強力な手口を編み出しており、その動きは「ビットコイン送金」と言う間もなく、あっという間に先へ進んでしまうのです。
サイバーセキュリティにおいては、まるで「モグラたたき」のような状態が続きます。 私が、積極的に関わり、支援する方法を知りたいと熱心な理事の方々にお会いした際、このように説明しています。 ウェルズ・ファーゴでの 21 年を含む、サイバーセキュリティの分野で悪意ある攻撃者を撃退することにキャリアを捧げてきた私から申し上げますと、問題が発生するたびに、あらゆる業界のセキュリティ専門家たちは、新しい「ハンマー」に多額の資金を投じようとするものです。 しかし、そのハンマーは、同じような穴から出てくる似たようなモグラに対してしか効果はありません。
では、 の の取締役たちは、どのような質問をすべきでしょうか？ ここでは、自社のセキュリティに関する支出、計画、ガバナンスの改善を目指す取締役会にとって、私が最も有用だと考える6つのポイントをご紹介します。
1. どのような資産を保護しているのでしょうか？
資産の可視性は、基本的ではありますが、極めて重要な課題です。 何しろ、見えないものは守ることができませんから。
「サイバーセキュリティの世界では、まるで『モグラたたき』をしているようなものです。」 私が、積極的に関わり、支援する方法を知りたいと熱心な理事の方々にお会いした際、このように説明しています。”
しかし、調査会社IDG Connectの調査によると、 によると、IT専門家の 30％のみが、自組織のエンドポイントの 85％以上をいつでも監視できる能力に非常に自信を持っているとのことです。
会社のネットワークにはいくつのハードウェアが接続されており、それらのデバイスではどのようなソフトウェアが動作しているのでしょうか？ セキュリティ担当幹部は、どのようにしてその知識を得ているのでしょうか？ 正確な数値自体は取締役会メンバーにとって意味をなさないかもしれませんが、経営陣が信頼性の高い 資産発見および 資産管理システムを導入しているかどうかを確かめるために、さらに詳しく尋ねてみることは可能です。
2。 私たちは「至宝」をどのように守っているのでしょうか？
企業の「至宝」の例としては、主要製品のソースコード、暗号鍵やセキュリティ戦略、財務・法務・規制に関する機密性の高い協議などが挙げられます。 取締役は、このデータやその他の極めて機密性の高いデータへのアクセスを保護するために、会社が導入している管理措置を十分に理解しなければなりません。
[関連記事：組織の「至宝」とも言えるデータを保護するための 5 のステップ]
例えば、 のクラウドプラットフォーム は、どの程度安全なのでしょうか？ 会社では、どの従業員が特定のデータへの特権アクセス権を持っているか把握していますか？
組織は、最も価値の高いデータに存在する脆弱性を特定するために、どのくらいの頻度で脅威評価や侵入テストを実施しているのでしょうか。また、
これらのテストから得られた知見を何らかの形で活用しているのでしょうか。
3。 一体誰が、私たちにとって最大の安全保障上のリスクとなっているのでしょうか？
取締役会は、ロシア、中国、北朝鮮、イランといったありふれた「常連の容疑者」にとどまらず、自社を攻撃する可能性のある主体を特定する必要があります。
これを実現するための重要な手法の一つが、「敵対的コンサルティング」です。これは、単なる「誰が私たちを攻撃する可能性があるか」という問いにとどまらず、「攻撃者から見て私たちはどのように映っているのか、そして攻撃者はどのように攻撃を実行しうるのか」という問いを投げかけるアプローチです。
このアプローチは、組織が、悪意のある攻撃者が用いるよく知られた戦術、手法、手順に対して、十分に防御できているかどうかを判断する上で、大いに役立ちます。 とはいえ、脅威としては、混乱を引き起こそうとするハクティビストや、知的財産を盗もうとする競合他社、そして現在最も注目を集めている脅威である、巨額の身代金を狙うランサムウェア集団などが挙げられます。
リスクについて率直かつ誠実な議論を行う際には、 の内部脅威についても必ず取り上げる必要があります。。 ベライゾンによると、 情報漏洩の20％ は、従業員の過失または悪意に起因しているとのことです。
[関連記事：はい、従業員はルールを破ります――それも頻繁に。 しかし、時には善意からそうすることもあります]
取締役は、最新の フィッシング手口 やその他の脆弱性について従業員を教育するための手順について確認し、会社が「ゼロトラスト」という戦略をセキュリティ体制に確実に組み込んでいることを確認すべきです。
4。 当社のリスク軽減戦略に対して、どの程度の確信を持っていますか？
確かに、「自信」は主観的な指標ではありますが、取締役会メンバーとしては、セキュリティチームが会社が直面する課題に対処するために十分なリソースと支援を得られていると感じているかどうかを測る手段として、経営陣にその自信の度合いについて尋ねることが重要です。 企業の経営幹部が、特定の技術やアプローチに対する自信の度合いが 100％に近い、あるいは 20％を下回っていると報告した場合、警戒すべきです。
「確かに『自信』は主観的な指標ですが、取締役が経営陣に[それ]について尋ねることは重要です。」
正確な数値がどうであれ、優れた経営幹部は、自身の予測を裏付けるために、次のようなデータを取締役会に提示します。例えば、重大な脆弱性の件数、それらを修正するまでの平均日数、過去 12 か月間に評価されたサードパーティの割合などであり、これらは数四半期にわたる推移としてグラフ化されています。
ガートナーのバイスプレジデント兼ディスティンギッシュド・アナリストであるポール・プロクター氏が最近のカンファレンスでのプレゼンテーションで述べたところによると、最良のデータには、ビジネス成果と連動した価値ベースの指標が含まれます。例えば、ランサムウェアの復旧コストを 70％削減した事例や、パッチ未適用の脆弱性に関連する予定外のシステム停止を 50％削減した事例などが挙げられます。
5。 情報漏洩に備えて、どのような予防措置が講じられていますか？
取締役は、サイバーセキュリティに対して防御的な考え方で臨む傾向があります。 しかし、サイバー攻撃の件数が急増していることを踏まえると、企業の経営陣は、情報漏洩が発生した場合の具体的なシナリオを先を見据えて想定しておくべきです。 そのためには、企業は明確に定義されたサイバーセキュリティインシデント対応チーム（CSIRT）を整備しておく必要があります。 また、 のインシデント対応計画も文書化されている必要があります。。
企業のセキュリティ責任者が実施し得る戦略的取り組みの中には、そうした計画を検証するためのサイバー攻撃シミュレーションがあります。 そうすることで、弱点が明らかになり、見落としがちな点を先回りして把握することができます。 マスターカードなどの一部の企業では、取締役が 攻撃シミュレーション に参加しており、これにより、理論的な知識を実体験へと結びつけることができます。
6。 インシデントが発生した場合、取締役会の役割は何でしょうか？
多くの企業では、サイバー攻撃に備えてインシデント対応計画を策定していますが、取締役は、自らの役割について、また組織内で誰が重要な対応計画やインシデント復旧計画の「責任者」であるかについて、重要な質問を投げかけるべきです。
同社は、 にあるように、身代金を支払う可能性はあるのでしょうか？ そうすることは合法なのでしょうか？ （急な通知では取締役会を招集できない場合に備え、身代金に関する方針を定めておく必要があります。） ランサムウェア攻撃が発生した際、誰が当局に連絡するのでしょうか？
[関連記事：ランサムウェア攻撃から企業はどのように生き残るのか？] 一歩ずつ進めていきましょう。]
その他の質問としては、次のようなものがあります。社内のネットワークが麻痺した場合、取締役会はどのようにして互いに連絡を取り合うのでしょうか？ 大規模な情報漏洩が発生した場合、従業員、顧客、取引先への連絡は誰が担当するのでしょうか？ 報道機関とのコミュニケーションに関する広報戦略は策定されていますか？
単に計画が存在しているだけでは不十分です。取締役は、セキュリティ侵害が発生する前に、その計画を大枠で精査し、その中で自らが果たすべき役割について議論しておく必要があります。 結局のところ、彼らは常に警戒を怠らず、万全の態勢を整えておくべきです。 そうして初めて、彼らはSolarWindsのような訴訟の次の標的になることを回避できる見込みが持てるのです。
