「サイバー攻撃が明白かつ差し迫った脅威であることを理解するために、最近注目を集めたサイバー攻撃の被害企業の一つである必要はありません。」
このように、イングランド銀行の最高情報セキュリティ責任者であるウィル・ブランドン氏は、先ごろ開催された「 」の「City Week」カンファレンス （新しいタブで開きます）において、「 」と題した講演 （新しいタブで開きます） の冒頭で述べました。 英国の金融業界に対してサイバー犯罪に関する助言を行う役割を担っているブランドン氏の指摘は、まさにその通りです。 企業は、サイバー攻撃がもたらす深刻な脅威についてかつてないほど認識を深めているにもかかわらず、自社や顧客を守るための対策を十分に講じていません。
組織のセキュリティは、IT部門だけの責任とすることはできません
このようなリーダーシップの欠如については、言い訳の余地はありません。 企業のシステムやデータのセキュリティは、技術スタッフだけの責任とすることはできません。 たとえサイバー脅威が、ブランドン氏が指摘するように「不明確」であり、「加害者が目立って存在しない」としても、取締役の受託者責任には、考えられるあらゆる脅威を認識しておくことが含まれなければなりません。
しかし、多くの取締役会では、依然としてサイバーリスクの理解や、最終的にはそのリスクに対する許容度の決定に苦慮しています。 当社がNASDAQおよびロンドン大学ゴールドスミス校と共同で実施した「 」調査によると、サイバーセキュリティ上の脅威に極めて脆弱な企業の非執行取締役のうち、自社に関連するサイバーセキュリティ上の脅威の種類について定期的に最新情報を得ていると回答したのは、わずか 10％にとどまりました。 英国では、最も脆弱な立場にある経営幹部（C-suite）のうち、サイバーセキュリティに関連するリスク評価を受けたのはわずか 29％にとどまっています。世界全体では、この割合は 13％に低下します。
今年は、注目を集めるハッキング事件が相次いでニュースを賑わせていますが、その影響を受けているのは企業だけではありません。 各国もまた被害を受けており、ウクライナの電力網への侵入や、今年初めにフィリピンで選挙の投票記録の大部分が失われた事例などが挙げられます。 しかし、企業にとっては、組織のリーダーたちがこうした脅威をより深く認識していたり、これらのリスクに対するリスク許容度を測定するための明確かつ一貫性のあるデータを持っていたりすれば、どれほどの評判や金銭的な損害を回避できたか、容易に想像がつきます。 税引前利益の減少、特別損失の急増、世間の非難、そして多くの不満を抱える顧客――これらすべては、本来なら回避できた可能性があったのです。
サイバーリスクとその他のリスクのバランスをとる
「では、サイバーリスクとその他のリスクをどのようにバランスを取ればよいのでしょうか？」 ブランドンが尋ねました。 「まず第一に、少なくとも可能な範囲で、それを数値化することだと思います。」 その際には評価や調査が必要になるかもしれませんが、まずは、ご自身の遺産のどの部分について、誰がどのような役割を担う可能性があるのかを整理することから始めるのがよいでしょう。 あるいは別の言い方をすれば、リスクを「脅威」「脆弱性」「資産」に分解することです。」
ナスダックの上級副社長兼企業秘書役であるジョーン・コンリー氏（ ）は、企業（ ）に対し、「リスク許容度を決定するにあたり、取締役会は自社の商業的目標を明確にし、それらの目標に影響を及ぼす可能性のある法的リスク、業務上のリスク、競争上のリスク、評判リスクなど、あらゆるリスクを把握すべきである」と助言しています。 そうして初めて、取締役会は望ましいリスクの水準を明確に示すことができるのです。 「その後、彼らは会社全体にわたる主要なリスクの発生可能性と影響を継続的に把握し、経営陣が定められたリスク許容度の範囲内で業務を遂行し続けているかどうかを監視しなければなりません。」
インシデント対応計画の策定
リスク許容度にかかわらず、どの組織も、セキュリティ衛生管理の基本的な慣行に従い、検証済みのインシデント対応計画を整備することで、リスクを最小限に抑えることができます。 また、取締役会は、経営陣がサイバーセキュリティを事業運営全体の一環として適切に考慮しているかを確認するため、以下の質問を投げかける必要があります：
- 同社のサイバーリスクのレベルはどの程度でしょうか。また、この評価の根拠となる機密データの出所や種類にはどのようなものがありますか。
- 御社では、サイバーリスク評価のベースラインを策定していますか。また、時間の経過に伴う改善状況を把握するための継続的なプロセスは整備されていますか。
- サイバー攻撃への対応計画や危機管理計画はありますか？
- サイバーリスクに関して、取締役会にはどのような情報が共有されるのでしょうか。また、取締役会委員会レベルでCIOと現状を確認するための定期的なプロセスは設けられていますか？
- 監査委員会内にリード・ディレクターを任命すべきでしょうか、あるいは監査委員会の定款を正式に改定してサイバーリスクをその対象に含めるべきでしょうか。それとも、当社のサイバーリスクは、独立した常設のサイバーリスク委員会を設置すべきほど高いとみなされるのでしょうか。
- サイバーリスク管理にかかるコストは、データ漏洩によるコストと比べてどの程度なのでしょうか。私たちの業界におけるデータ漏洩事例を分析し、漏洩による総コストがどの程度になるかを把握したことはあるでしょうか。
- リスクとコストを軽減するために、当社はサイバーセキュリティ保険やその他の新しい種類のセキュリティ技術の導入を検討すべきでしょうか？
共通の指標セットを定義した後、ITおよびセキュリティの責任者は、経営陣やガバナンス委員会のメンバーと協力して、企業のリスク許容度を共同で決定することができます。
サイバー犯罪は、深刻かつ複雑なリスクです。 企業の経営陣が、自社が直面している特有の課題を把握するために時間を割くことで、そのリスクを軽減することができます。 ウィル・ブランドン氏が述べたように、「人は導かれる必要があります。」 プロセスは適切に管理される必要があります……。サイバーセキュリティは、その大部分において、リーダーシップとマネジメントの問題です。 「IT部門だけでなく、トップから実践されるべきリーダーシップです。」
タニウム社 EMEA担当副社長、リチャード・オルバー氏。
Taniumの実際の動作をご覧になりませんか？ の個別デモをご予約いただくか、毎週開催されているウェビナーにご参加ください。 「 」の今後のイベント（）にて、当社のTaniumエキスパートにご相談ください。
