10 年余り前、ターゲット社は、大規模なサイバー攻撃を受けて傷ついた評判を回復させる取り組みの一環として、同社初の最高情報セキュリティ責任者（CISO）である 氏を採用しました。 Hackers had swiped the electronic credentials of a refrigeration vendor, infiltrated Target’s computer network, and stole credit and debit details of 40 million accounts and the personal information of 70 million customers.
Among the devastating consequences, in-store and online sales dipped to their lowest point in three years, the CEO and the CIO resigned, the Senate grilled the CFO in a highly publicized investigation, and the company agreed to pay a record-breaking $18.5 million to settle claims brought by 47 states and the District of Columbia. 消費者の信頼を取り戻すため、ターゲット社は、 の多要素認証の活用拡大、 の従業員研修 の充実（のパスワード管理に関する内容を含む）、および のアクセス管理の強化など、一連のセキュリティ対策を実施しました。
この大失態は、世界中の企業に衝撃を与えました。 ターゲットがハッキングされる可能性があるのなら、誰にでも同じことが起こり得ます。 企業の取締役会にとっての教訓は明らかでした： 攻撃を待つのではなく、今すぐシステムの脆弱性を確認してください。
それは10年前のことですが、それ以来、 で報じられた数多くの注目すべき小売業界におけるサイバー攻撃 が相次いでおり、昨年だけでもチケットマスター、AT&T、ベライゾン、デルなどが被害に遭っています。 では、実際にこの教訓を真摯に受け止め、サイバーセキュリティの強化に投資した取締役会は、いったいいくつあるのでしょうか？
何しろ、ターゲット社の情報漏洩事件やその他の大規模な事件を通じて、その余波がいかに甚大なものになり得るかを私たちは目の当たりにしてきました：
- まず、 による顧客の信頼の重大な失墜があります。。 IDCによると、機密情報が漏洩した場合、先進国の消費者の 80 パーセントが他のプロバイダーに乗り換えるとのことです。 実際、ある調査によると、情報漏洩が発生した後、企業の約 60 パーセントが倒産しているとのことです。
- さらに、特に有名人が関わっている場合、メディアによる否定的な報道もあります。 これにより、大規模なメディア報道を受けた後にしばしば生じる信頼の喪失や否定的な印象が加速し、企業そのものだけでなく、そこに所属する個人にも悪影響を及ぼすことになります。
- 企業の評判が低下すると、その時価総額も同様に低下します。 データ漏洩の被害に遭った企業は、数年にわたり株価が市場平均を下回る傾向が見られることがあります。 さらに、サイバー攻撃による経済的損失――データ復旧費用、弁護士費用、被害を受けた顧客への補償などを含め――は、甚大なものとなる可能性があります。 They averaged $4.88 million per breach in 2024, a 10% rise over the previous year and the biggest jump since the pandemic.
- 違反の深刻度によっては、企業の評判が著しく低下し、投資家がその企業を敬遠するようになる可能性があります（ ）。また、新たな関係を築いたり、協力関係を結んだりする機会を失い、ひいては成長が阻害される恐れもあります。
- 最後に、サイバー攻撃は の従業員の士気を低下させ 、採用活動にも支障をきたすことになります。 個人情報が盗まれた従業員は、少なくとも、会社が自分たちを守るための対策が不十分だったと感じるかもしれません。 また、評判を傷つけてしまった企業では、有能でトップクラスの求職者が、むしろ他の場所で働きたいと考えるようになる可能性があります。
「率直に申し上げますと、血と汗と涙を注いで築き上げた会社が、こき下ろされているのを目にするのは、本当に辛いものです。」FTIコンサルティングのシニアマネージャー、メレディス・グリファンティ氏
現在、FTIコンサルティングのシニア・マネージング・ディレクターを務めるメレディス・グリファンティ氏は、 2017年にエクイファックスで情報漏洩事件が発生した当時、同社の役員を務めており、その経験がいかに士気をくじくものだったかを今でも覚えています。
「正直に申し上げますと」と彼女は言いました。「血と汗と涙を注いで築き上げた会社が、新聞の一面でこき下ろされているのを目にするのは、本当に辛いものです。」 「胸が熱くなります。」
サイバーセキュリティが競争上の優位性となる理由
透明性を確保するため、 年、米国証券取引委員会（SEC） は、サイバー攻撃の報告プロセスをより厳格化する2023 項目の開示規則を追加しました。 この新しい規則により、企業は投資家に対し、自社のサイバーリスク対策に関する最新かつ一貫性があり、「意思決定に有用な」情報を提供することを求められます。また、企業は「重要な」サイバーインシデントに関する情報を3日以内に開示することが義務付けられています。 ブランドの評判を守る最善の方法は、サイバーセキュリティの文化を定着させ、育んでいくことであるため、取締役会にはより積極的な取り組みを求める圧力がさらに強まっています。
「セキュリティを競争上の優位性として活用している企業もあります」と、 M37 VenturesのCEO兼創業者であり、T-Mobileの元CIOであるロバート・ストリックランド氏は述べています。 「『フォートノックス』であることは、彼らのブランドの一部となり、顧客を引きつけ、維持するための手段となります。」
「予防は治療に勝る」という古い格言が当てはまります。 実のところ、サイバーセキュリティの分野においては、その 16-to-1 という比率は、主体的な取り組みの価値を過小評価している可能性があります。 万能の解決策というものは存在しませんが、専門家の方々からは、防御策を構築するための、広く合意されているいくつかの手順が挙げられました（当方でもそれらをまとめました）。
取締役会が評判の低下を防ぐための7つの方法は以下の通りです：
1. 多層的なセキュリティ体制の構築を求めましょう
中世の城を守ることを考えてみてください。 「防御策は一つだけではなかったのです」とストリックランド氏は指摘しています。 「堀や、とげ、熱油、投石機などがありました。」
「セキュリティを競争上の優位性として活用している企業もあります。」 「フォートノックス」であることは、彼らのブランドの一部となり、顧客を惹きつけ、維持するための手段となっています。”M37 VenturesのCEO兼創業者、ロバート・ストリックランド氏
「彼らと同様に、多層的なセキュリティ戦略を確実に構築するようにしてください」と彼は助言しています。 1つのレベルだけでは決して十分ではありません。 脆弱性を見つけるために、絶えずテストを行ってください。 フィッシング詐欺に遭わないよう、またパスワードを他人に教えないよう、従業員を教育してください。
2。 良い質問をしましょう
「当たり前のように思えるかもしれませんが、取締役会ができる重要なことの一つは、非常に質が高く、思慮深い質問をすることです」と、グローバル法律事務所オリックのパートナーであり、同事務所でサイバー・プライバシー・データイノベーション・プラクティスグループを設立したアルヴィンド・スワミナサン氏は述べています。 同氏は、すべての取締役会が自社に対して問うべきであるとするオリック社の質問リストを挙げ、全米企業取締役協会（NACD）やその他の コーポレート・ガバナンス 団体による同様のリストも引用しています。
[関連記事: 4 AIの時代におけるCISOの重要なリーダーシップの優先事項]
3。 さあ、プレイブックを徹底的に練習しましょう
準備態勢への注力がますます高まっています。 「取締役会が経営陣に対し、より万全な準備を整えるよう強い圧力をかけているのが見受けられます」とグリファンティ氏は述べています。 つまり、 のインシデント対応 計画、危機管理コミュニケーション計画、および事業継続計画を見直し、強化するとともに、これらすべてが連携して機能するようにする必要があります。
4。 CISOと協力して取締役会を構成してください
取締役会は、四半期ごとのプレゼンテーションだけでは、企業のサイバーセキュリティ体制について十分な見識を得ることができません。
「取締役会とCISOの間に目に見える関係があることで、サイバーセキュリティが全社にとって取り組む価値のある課題であることが、社内に明確に伝わります。」J.R. ウィリアムソン氏、Leidos社 上級副社長兼CISO
「取締役は、セキュリティチームを訪問し、サイバーセキュリティの最前線に立つ担当者から直接説明を受けるよう手配すべきです」と、Leidos社のシニアバイスプレジデント兼CISOであるJ.R.ウィリアムソン氏は、インターネット・セキュリティ・アライアンス（Internet Security Alliance）が発行した『 2023 サイバーリスク監督に関する取締役向けハンドブック』（）の中で述べています。
同氏は、チームの使命やリーダーたちについてより深く理解しておくことは、万一の危機に際して大きな成果をもたらすだろうと指摘しています。 また、これには次のような力強いメッセージが込められています。「取締役会とCISOとの間に目に見える関係があることで、サイバーセキュリティが全社員の時間を割く価値のあるものであることが、会社全体に明確に伝わるのです。」
5。 ソーシャルメディアも担当範囲に加えてください
ここは、最も深刻な被害が発生する可能性がある場所の一つです。 「大手ブランドで、消費者への注力が強い場合や従業員数が多ければ、 のソーシャルメディア動向 を事前に把握しておくべきです」とグリファンティ氏は述べています。
中小企業にとっても、 ますます重要になってきています。 とはいえ、こうした取り組みを行うための人員やリソースが不足している場合もあります。 「Redditの掲示板からツイート、YouTubeの投稿に至るまで、あらゆる情報を常にチェックしておきましょう」とグリファンティ氏は述べ、「そうすれば、物議を醸す事態が拡散する前に察知することができます」と付け加えています。
[関連記事：拡散した偽情報が企業部門に深刻な影響を及ぼし、利益や市場シェアを圧迫しています――その全貌を解説したガイドはこちら]
6。 ゲームを始めましょう
シミュレーションは、取締役の皆様にとって状況をよりリアルに実感させてくれます。 グリファンティ氏は、自身の会社が、取締役会が「実戦的な状況」に身を置き、一瞬のうちに下すべき微妙な判断や重要な決定を理解できるよう、演習を設計したと述べています。
彼女が言うように、「ネットワーク全体をいつ停止させるのでしょうか？」 まず最初に、どのサービスをオンラインに戻しますか？ 「どのサービスやアプリケーションが業務上不可欠なのでしょうか？」
[関連記事： 2025年のサイバーセキュリティ予算策定の指針となる 5 の重要目標]
7。 自分の信条を定め、それに従いましょう。
市場の期待や過去の行動によるプレッシャーがあるとはいえ、組織として自分たちが何者であるかを忘れないことが大切です。
「自社のミッション、ビジョン、価値観が何であるか、そして危機的状況に直面した際にそれらをどのように守り抜くかを理解しなければなりません」とスワミナサン氏は述べています。 「それが、ブランドの評判を守る方法だからです。」 「そうやって信頼を築くのです。」 「正しいこととは、必ずしも簡単に定義できるものではない」と彼は言います。 しかし、それこそが評判を高める道なのです。
