セキュリティチームと取締役会では、リスクに関する意思疎通がうまくいっていない状況にあります。 CISOやセキュリティチームが取締役会に指標やデータを報告する際、彼らはIT用語を用いて説明します。例えば、「 」といったフィッシング攻撃の試行件数、「 」といったブロックされた攻撃の数、システムのパッチ適用状況、アンチウイルス（AV）ソフトウェアを実行しているエンドポイントの割合などです。 取締役会は、事業運営の観点に耳を傾けています。具体的には、事業継続性、サービス停止のリスク、利益や生産性への影響、投資や沈没コスト、そして規制当局による罰則やメディアによる批判を受ける可能性といった点です。
セキュリティに関する指標：更新情報、パッチ、平均修復時間（MTTR）。 取締役会では、数字についても話し合われます。ドルや従業員数、攻撃を受ける可能性などです。 結局、双方は互いの話を聞き流してしまっています。 その結果、同社がどのようなリスクに直面しているのかという点が、見落とされてしまいます。 リスクを明確に理解していなければ、企業はデータ漏洩やランサムウェア攻撃といったサイバー脅威を軽減するために、迅速かつ効果的な対応をとることができません。
これは、Tanium社の後援により、 、Harvard Business Review Analytic Services （新しいタブで開きます）が実施した最近の調査における結論の一つに過ぎません。 「組織はサイバーリスクの測定と監視に苦慮している」と題されたこの調査は、今日の企業界におけるリスク報告の実態を明確に示しています。 本報告書の結論は、リスクとその管理方法をより深く理解したいと考えているセキュリティチームや取締役会にとって、有益な指針となります。
現在のリスク報告の状況
ハーバード・ビジネス・レビュー・アナリティック・サービスが実施した調査では、世界中の企業で中間管理職、上級管理職、または経営幹部を務める 180 名の回答者を対象に、セキュリティ報告とリスクに関する質問を行いました。 回答者の多くは、企業の経営幹部は、組織が今日直面している重大なリスクについて、より的確な情報を得る必要があるという点で概ね一致しました。
- 70％が、自組織の上級経営幹部は、組織のサイバーセキュリティについて、もっと関心を払うべきであるという点に「ある程度同意する」または「強く同意する」と回答しました。
- 68％が、「ITチームは、経営幹部が自社のサイバーリスクやサイバーセキュリティについてより正確に把握できるよう、さらに努力できる」という点に「ある程度同意する」または「強く同意する」と回答しました。
サイバーセキュリティに関する報告に問題がある場合、その報告がどのくらいの頻度で行われているのかを確認してみる価値があります。 この調査の結果、以下のことが明らかになりました：
- セキュリティチームの33％が、サイバーリスクについて経営幹部に臨機応変に説明を行っています。
- 毎月、幹部に29％の報告を行っています。
- 四半期ごとに経営陣に24％の報告を行います。
- 毎年、幹部の7％に報告を行っています。
- 7％の幹部は、めったに、あるいはまったく報告を行いません。
その場限りの報告、年次報告、あるいは――最悪の場合――報告がまばらな状況では、経営幹部は、組織に深刻な損害をもたらしかねないリスクについて、十分な情報を得ることができません。 経営陣は、リスクに関する情報を適時に得ていなければ、リスクについて適切な判断を下すことは期待できません。
この調査で考慮されたもう一つの要因は、リスクがどのように報告されたかという点でした。 セキュリティチームは、長期にわたって追跡されている指標の長いリストを提示しましたか？ 彼らは一般的な表現を選んだのでしょうか？ それとも、指標とテーマの組み合わせでしょうか？
この調査の結果、以下のことが明らかになりました：
- 52%では、全体的なリスク状況に加え、いくつかの指標やベンチマークについても提示しました。
- 44％は、ベンチマークがほとんど、あるいは全くない状態で、全体的なリスク状況を提示しました。
- 13%は、多くの指標やベンチマークを含めた包括的なレビューを提示しました。
もちろん、一般論は、あまりにも一般的すぎて役に立たない場合もあります。 指標は有用ですが、それは経営幹部が理解できる形で提示されている場合に限ります。
リスクを理解することの重要性
経営幹部の多くは、技術に関する深い知識を持っていません。 彼らは、セキュリティ指標の理解に苦労しています。その一因として、それらの指標が取締役会の主要な目標とどのように連動しているのかが明確でないことが挙げられます。 こうした目標には、通常、事業継続、利益の確保、および規制順守の維持などが含まれます。
こうした目標を踏まえて、経営幹部は、ランサムウェアの動向、サービスデスクの対応時間の短縮、およびOSのアップグレードがまだ必要なノートパソコンの台数に関する報告書に対し、どのように対応すべきでしょうか。 経営陣にはわかりません。
ここには、必ず行わなければならない重要な翻訳があります。 セキュリティチームは、自社のITインフラの状態に関する指標を収集すべきです。 しかし、それらの指標を、自社の事業目標にとって意味のある表現に置き換える必要があります。
セキュリティ部門の責任者は、両チームにとって理にかなっており、かつ重要な指標を特定し、全員が共通の認識を持てるようにする必要があります。 これらの指標は、人、プロセス、テクノロジーを総合的に考慮しつつ、取締役会とセキュリティチームが共同で行動に移せるような知見をもたらします。
結局のところ、経営幹部は意思決定を行うためにこうした会議に出席しているのです。 彼らは、何に投資すべきか、またどのような政策を採用し、修正し、あるいは廃止すべきかを知る必要があります。 彼らは、財務の安定や成長といった、会社のより大きな目標を踏まえて、そうした決定を下すことになります。
研究によると、指標は企業の財務状況と関連しているべきであるとのことです。 その関係を確立するためには、セキュリティチームは、現在、人、プロセス、テクノロジーがどのようにして企業のビジネスを支えているかを理解する必要があります。
彼らは具体的な内容を理解する必要があります。 例えば、同社の新しいモバイルアプリが成長を牽引している場合、そのアプリはどのITシステムに依存しているのでしょうか？ どのサーバーとデータベースが関係しているのでしょうか？ それらのシステムでは、どのようなオペレーティングシステムやソフトウェアパッケージが動作しているのでしょうか？ 最近公表された脆弱性の影響で、これらのオペレーティングシステムのいずれかにリスクはありますか？
こうした背景が明確になれば、経営陣にとって、パッチが適用されていないサーバーに関するリスクが自社ビジネスにどのような意味を持つのかを理解しやすくなります。 レポート機能により、セキュリティ指標が財務上の結果とどのように関連しているかを把握できるようになりました。この例では、収益を生み出すアプリの潜在的なサービス停止が挙げられます。
HBRのレポートによると、「CISOは技術的な指標を削減し、サイバーリスクを経済的な観点から捉える必要がある」とのことです。 これらの指標や用語は四半期ごとに一貫性を保つべきであり、そうすることで、セキュリティチームや経営陣を含む全員が、サイバーリスクという極めて重要な課題に関して、会社がどのような状況にあるかを理解できるようになります。
本レポートとその調査結果について詳しく知りたい方は、 をご覧いただくか、 4月27日 にてウェビナーにご登録ください。 （新しいタブで開きます） このライブ形式の双方向型ウェビナーでは、ハーバード・ビジネス・レビュー・アナリティック・サービスのマネージング・ディレクターであるアレックス・クレメンテ氏が、組織がサイバーリスクをどのように測定・監視しているかについて、本調査から得られた知見をご紹介します。
その後、同氏は、Taniumの最高情報セキュリティ責任者であるクリス・ハレンベック氏と共に、サイバーリスクの脅威や、組織がそれを軽減するために講じることができる対策について議論する予定です。 クレメンテ氏とハレンベック氏は、以下の点について議論する予定です：
- 組織はどのようにすれば、サイバーリスクに関するコミュニケーションをより円滑に進めることができるでしょうか
- 適切なサイバーリスク指標を活用することの重要性
- 指標（特に技術的な指標）を多用すると、なぜ混乱を招くことになるのでしょうか
- 経営陣にサイバーセキュリティへの関心を維持してもらう方法
を導入している組織のITリスク状況について詳しく知りたい場合は、 から無料のリスク評価をご依頼ください。リスク状況の包括的な把握と、組織を保護するための予防的な対策についてご確認いただけます。
