サイバーセキュリティに関しては、最終的な責任は取締役会にあります。
これは、米国証券取引委員会（SEC）が「 2022年3月9日」で発信したメッセージであり、同委員会は同イベントにおいて、規制当局への提出書類におけるサイバーリスクガバナンスおよびインシデント報告に関する開示の強化を義務付ける新たな規則案「 」（ ）を発表しました。
同機関の原動力とは？ 大規模なサイバー侵害の件数と被害額は急増しており、透明性に対する株主の期待も同様に高まっています。
SECは現在、新規則の最終調整を進めている段階ですが、一つ明らかなことがあります。それは、同委員会がまもなく、取締役会に対し、セキュリティガバナンスに関する前例のないほど詳細な情報を毎年開示するよう義務付けるほか、重大なセキュリティ侵害が発生した場合はその有無や発生時期についても開示を求めることになるということです。
特に、取締役は、誰が監督責任を「担う」のか――監査委員会やリスク管理委員会といった既存の委員会か、新設のサイバーセキュリティ委員会か、あるいは取締役会全体か――、そしてその監督がどのように行われるのかを報告しなければなりません。 導入が迫っている規制により、取締役会に対しては、監督体制を見直すだけでなく、取締役会の構成そのものを再考するよう、ますます強い圧力がかかっています。
の規制環境の変化に備えるため（）、以下に、取締役会が優先的に検討すべきサイバーセキュリティ・ガバナンスに関する4つの課題を挙げます。
1. 取締役会にサイバーセキュリティの専門家を加えるべきでしょうか？
今日、取締役会にサイバーセキュリティの専門知識を持つメンバーがいることは、むしろ例外であり、一般的ではありません。 監査品質センター（Center of Audit Quality）によると、S&P 500 社 のうち、34% の企業のみが、取締役会にサイバーセキュリティの専門家を擁しています。
SECの新しい規則では、企業に対し、取締役会のメンバーのうち、サイバーセキュリティの専門知識を持つ者がいる場合はその人物を報告することが義務付けられることになります。 これは、サイバーリスクを監督する専門家を加えることを義務付けるというよりは、むしろ、取締役会の監督能力について投資家に透明性を提供するための措置です。
「取締役会にCISOを登用しようとしても、彼らは非常に需要が高いため、見つけるのは難しいでしょう。」オリック社の上場企業グループ共同責任者、キャロリン・フランツ氏
いずれにせよ、取締役会はサイバーリスクの専門家を招き入れ、メンバーに加えるべきでしょうか？ 多くの企業がその意向を示しています。アーンスト・アンド・ヤングの報告書によると、 2021年には、取締役会の 65％が、サイバーセキュリティは取締役会に求められる専門分野であると回答しており、これは 2018年の 36％から増加しています。
その検索は難しいかもしれません。 「取締役会にCISOを登用しようとしても、その人材を見つけるのは難しいでしょう。なぜなら、CISOは需要が非常に高く、 供給が著しく不足しているからです」と、テクノロジー専門法律事務所オリックの公開企業グループ共同責任者であるキャロリン・フランツ氏は述べています。
フランツ氏は、CISOの候補者を見つけた場合、「その人物は、取締役会に付加価値をもたらす幅広いスキルも備えている必要があります」と指摘しています。 「ある特定のスキルを持っているという理由だけで、その人を取締役に迎え入れるのは避けたいものです。」
[関連記事：サイバーセキュリティに対する連邦政府の監督強化に、取締役会はどのように備えているか]
プライスウォーターハウスクーパース（PwC）のサイバーリスクおよび規制関連マーケティング部門のパートナーであるジョー・ノセラ氏は、取締役会が考慮すべきもう一つの落とし穴として、取締役会が自らの監督責任を放棄する口実として、「専門家」に過度に依存してしまう可能性があることを警告しています。
「サイバーセキュリティの経験を持つ取締役が1人いる取締役会に出席したことがありますが、他の取締役たちはあらゆる議題についてその取締役の意見にばかり従う傾向がありました」と、自身もいくつかの非営利団体の取締役を務めているノセラ氏は述べています。 「まるで、『ああ、サリーは以前サイバーセキュリティ会社に勤めていたから、その点については心配しなくていいんだ』といった感じですね。」
ノセラ氏は、専門家が真に付加価値をもたらすことができる分野の一つとして、取締役会の知的水準を高めることを挙げています。 専門家は、全米企業取締役協会（NACD）が提供するサイバーセキュリティの「 」認定コース（ ）などのプログラムを通じて、取締役が研修を受けるよう促すことができます。 （現在までに、 23,000 名の会員のうち、約700名 が認定証を取得しています。）
なお、SECは「 」提案（）において、次のように明確に明記しています。「取締役会におけるサイバーセキュリティ専門家の指名が、他の取締役の職務や義務、あるいは責任を軽減することを意図するものではありません。」
[関連記事：見逃した方のために――大手企業がSECの新たなサイバー規制をめぐって議論を交わしています]
別の言い方をすれば、サイバーセキュリティの専門知識を持つ取締役を取締役会に加えることは、監督機能全般にとって有益ではありますが、最終的には、監督に関する責任と法的責任は、取締役会全体が負うことになります。
2。 サイバーセキュリティは、取締役会のどの委員会が「担当」すべきでしょうか？
デロイト・センター・フォー・ボード・エフェクティビティがコーポレート・ガバナンス協会と共同で実施した「 2021 」調査（ ）によると、現在、3分の2以上の取締役会（66％）が、サイバーセキュリティの監督責任を 監査委員会に委ねています（）。 調査対象者のうち、 15％がリスク委員会に責任があると回答しています。 デロイトの調査によると、サイバーセキュリティ専門委員会に責任を委ねているのはわずか 9％にとどまっています。
「サイバーセキュリティは、主にリスク管理上の課題です。 「完璧なセキュリティなど存在しません。」プライスウォーターハウスクーパースのサイバーリスクおよび規制関連マーケティング部門のパートナー、ジョー・ノセラ氏
「大多数がそうしているからといって、それが正しい答えだとは限りません」とノセラ氏は述べています。 「リスク委員会の中でサイバーセキュリティを統括している組織こそが、リスク管理を最も効果的に行っていることがわかりました。」
監査委員会よりもリスク委員会を重視すべき理由とは？ 監査委員会の「 」のタスクリスト は、財務報告や内部統制、データプライバシー、倫理およびコンプライアンスの問題などの監督業務で、すでに手一杯の状態です。 サイバーセキュリティがビジネスリスクとしてますます重要になるにつれ、委員会メンバーがガバナンスに割けるリソースには限りがあるかもしれません。
「サイバーセキュリティは、何よりもまずリスク管理上の課題です」とノセラ氏は述べています。 「完璧なセキュリティなど存在しません。 問題は、私たちがどの程度のリスクを受け入れる用意があり、現在のリスク許容度の範囲内にあるかどうかということです。 ”
3。 取締役会はサイバーセキュリティ委員会を設置すべきでしょうか？
コンサルティング大手のガートナーによると、今後数年間で、取締役会は監査委員会やリスク委員会を完全に廃止する選択をする可能性もあるとのことです。同社は、サイバーセキュリティ専門委員会を設置する取締役会の割合が、5年以内に 4倍に増加し 、2021 年の10％から 2025年には 40％に達すると予測しています。
ガートナーは『 2021年1月』の中でこの予測を発表しており、SECの提案は、サイバーセキュリティの監督機能を他の委員会の機能から分離すべきという主張を後押しする可能性があります。特に、企業が重大な「サイバーセキュリティインシデント」が発生してから4営業日以内に、SECにフォーム8-Kを提出することを義務付ける要件が挙げられます。
「企業では、 といった軽微なマルウェアや、 、といったフィッシング攻撃、 といった攻撃が毎日発生しています」とノセラ氏は指摘しています。 「そうした事案のすべてについて、取締役会に報告するのは現実的ではありません。」 取締役会は、SECが「重要」とみなす可能性のある事項に関する基準を策定する必要があります。これには、どのような事案が予定外の取締役会の開催を必要とするかについても含まれます。
サイバーインシデントの重要性を評価すること、およびそのようなインシデントを取締役会全体に報告すべきかどうかを判断することは、サイバーセキュリティ・アドバイザリーおよびソリューション企業であるOptivの副社長、ジェームズ・ターガル氏によれば、サイバーセキュリティ委員会の責任とすることができ、またそうすべきであるとのことです。
[関連記事：経営幹部層とコミュニケーションをとることは一つのことですが、彼らに耳を傾けてもらうことはまた別の話です。 【CISOがサイバーリスクについて効果的に語る方法】
ターガル氏は、このような委員会が「ハイブリッドモデル」を採用し、経営幹部、監査委員会の委員、およびサイバーセキュリティに関する知識を持つ取締役をメンバーに含めることを推奨しています。これにより、企業のサイバーセキュリティ戦略やガバナンスプロセスを、SECの新たな開示要件に整合させることが可能となります。
4。 委員会は、どのくらいの頻度で取締役会全体に報告を行うべきでしょうか？
今日の多くの取締役会において、サイバーセキュリティは年に一度、 のみ議題に上ります。 デロイトによると、非上場企業のほぼ 77％が、この問題が毎年取り上げられていると回答しており、大企業では 40％、中堅企業では 52％となっています。
厳格な監督を行うには、年に1回で十分でしょうか？ ノセラ氏の見解はそうではありません。同氏は、自社をハイリスクと見なしていない企業であっても、委員会がサイバーセキュリティに関する問題を年6回、あるいは少なくとも四半期に1回は取締役会に報告するよう推奨しています。
こうしたブリーフィングでは、当面の差し迫ったサイバーリスクだけでなく、複数年にわたる戦略計画（ ）、インシデント対応（）、事業復旧および広報計画（ ）、経営陣や従業員を対象としたサイバーセキュリティ研修およびリテラシー向上（）、さらには組織全体のサイバーセキュリティの成熟度とレジリエンスについても取り上げる必要があります。
基本に立ち返る
トゥルガル氏も、現在および今後変化し続けるサイバー脅威について、平易な言葉で取締役会に説明することが、効果的な監督には不可欠であるという点に同意しています。 「取締役は、株主価値を高め、守るために、厳しい質問を投げかけ、経営陣に異議を唱えることが求められています」と彼は述べています。 「基礎がなければ、 自分が何を知らないのか、 理解することはできません。」
[関連記事：取締役会に必ず尋ねてほしいサイバーセキュリティに関する 6 の質問]
そして現時点では、取締役たちは、自分たちの知識が不十分であるという点で意見が一致しています。 PwCの調査によると、取締役のわずか 、33% が、自社の取締役会が自社のサイバーセキュリティ上の脆弱性を理解していると認識しているとのことです。これは、適切なガバナンスを実現する上で大きな障壁となっています。
したがって、特に今後導入されるSECの規制を踏まえると、効果的な監督に向けた第一歩は、取締役がサイバーセキュリティの専門家を登用したり、サイバーセキュリティ委員会を設置したり、あるいは取締役会全体への報告会を増やしたりすることではないかもしれません。
まずは、サイバーセキュリティの基礎をしっかりと身につけることが可能であり、またそうすべきです。そうすることで、適切な質問ができるだけでなく、その答えも理解できるようになるからです。
