説明責任のギャップ
Tanium社はNASDAQと提携し、企業の経営幹部が自社のサイバーセキュリティ上の脆弱性について抱いている認識と、実際の理解との間に存在するギャップを明らかにしました。 『 』の「アカウンタビリティのギャップ：サイバーセキュリティと責任文化の構築」（ ）（新しいタブで開きます） において、ロンドン大学ゴールドスミス校の研究者たちは、企業がサイバーセキュリティの脆弱性を管理するために克服しなければならない7つの本質的な課題を特定しました。それらは、サイバーリテラシー、リスク許容度、脅威インテリジェンス、法令・規制、ネットワークの回復力、対応、そして行動です。
エンタープライズ・リスク・マネジメント（ERM）の重要性
リスクと取締役会の関係は、ますます複雑化しています。 技術や経済の急速な変化に伴い、エンタープライズ・リスク・マネジメント（ERM）は、取締役にとってより負担が大きく、実践的な責任となっています。 リスクを取ることは組織の成長にとって多くの戦略的メリットをもたらしますが、サイバーセキュリティはERMの優先課題の最上位に浮上しています。これは、これまでとは全く異なる脅威であり、独自の戦略、用語、基本ルールが必要とされています。 サイバーセキュリティ上の脆弱性は、管理や軽減が不可能なリスクです。 それは排除されなければなりません。 組織はもはや、サイバーセキュリティに関する責任を技術部門のリーダーシップにのみ委ねることはできません。トップから末端に至るまで、すべての者がサイバーセキュリティ上の脆弱性がもたらす結果について責任を負うべきです。
取締役に技術の専門家であることを期待すべきではありませんが、取締役会は、業界内のITベンチマークやベストプラクティスについて、適切な質問を投げかけられる態勢を整えておく必要があります。 調査の結果、サイバーセキュリティ対策が最も不十分な企業の取締役のうち、 91％がサイバーセキュリティ報告書の内容を理解できておらず、サイバーセキュリティ研修を受けたと回答したのはわずか 50％であることが判明しました。
取締役会は、他の財務リスクと同様に、組織が直面するサイバー脅威の状況を把握しておく必要があります。 しかし、組織が自社のデータに信頼を置いておらず、適切な運用管理体制も整っていないにもかかわらず、取締役会がサイバーセキュリティを評価・監督するのに十分な理解を持っていない場合、実際には誰が責任を負うことになるのでしょうか？ 取締役会は、自らを助けるためにさらに多くのことを行うことができ、技術部門のリーダーシップも、取締役会と連携するためにさらに多くのことを行うことができます。
取締役が自らを助けるために、さらにできること
CIOやCISOは、取締役会に対して以下の情報を提供することで、こうした数値の改善に着手することができます：
- 脅威の状況に関する全体的な理解
- 企業の資産およびそれに関連するリスクレベルを正確に特定すること
- 事業のリスク軽減に関連して発生するセキュリティコストについて、明確な説明
私自身も取締役として、サイバーセキュリティの専門家と定期的に意見交換を行い、事例研究を精査して、最新情報を把握するようにしています。 私は、エンタープライズおよびコンシューマー向けテクノロジー業界で長年にわたり働いてきた経験を通じて、IT環境やセキュリティ技術の種類、サイバーセキュリティの問題を説明する際に用いられる一般的な用語について理解を深めることができました。こうした背景をお持ちでない取締役の皆様は、自社のCIOまたはCISOにご相談されることをお勧めいたします。 At a minimum, information and security leaders should lead an annual “Cyber 101” session and share a glossary of terminology in lay-terms.
その他のおすすめのアクティビティ：
- 取締役会の監査委員会を拡大し、監査とリスクの両方を網羅するようにするとともに、サイバーセキュリティおよびそれが組織とどのように関連し、どのような影響を与えるかについて深い経験と知識を持つサイバーリスク担当の委員を同委員会に加えるようにしてください。
- ビジネスへの影響評価を実施し、技術部門以外の経営陣がサイバーセキュリティがビジネスに与える影響を確実に理解できるようにします
- サイバースキルを継続的に向上させるために、どこに注力すべきかを積極的に特定できるよう、毎年取締役会の評価を実施します
- 月次および年次でのベンチマークを容易に行えるよう、標準的な指標セットとスコアカードを作成します
- 特定されたリスクを軽減するための計画的な改善措置の進捗状況を、取締役会が把握し、追跡できるよう、3カ年セキュリティ計画を策定する
- 10年前にサーベンス・オクスリー法が導入されたことは、企業の財務監督および管理における転換点となり、受託者責任に基づく監督の在り方を根本から変えました。 サイバーセキュリティに関しては、まだ同様の転換点には至っていませんが、IT環境の監視は、すべての上場企業の監査計画において重要な要素となっています。 今日、サイバーリスク管理の枠組みが整備されつつあることを心強く感じており、上場企業の取締役会も、最終的には、現在の財務報告と同様に、サイバーリスク管理の枠組みを理解し、監督するようになるものと期待しています。 それまでは、すべての取締役が、自らのサイバーリテラシーの向上に積極的に取り組むことが求められます。
Taniumの実際の動作をご覧になりませんか？ の個別デモをご予約いただくか、毎週開催されているウェビナーにご参加ください。 「 」の今後のイベント（）にて、当社のTaniumエキスパートにご相談ください。
