サイバー脅威との戦いが激化する中、多くの企業は予防と検知にセキュリティリソースをさらに投入しています。攻撃者を寄せ付けないようにし、万が一（いや、 ）侵害が発生した場合には、より迅速に対応するのです。 そのアプローチには一理ありますが、別の戦略も注目を集めつつあります。
攻撃がほぼ避けられないものとなっている中、より多くの取締役会や経営幹部が、被害の軽減に一層注力し、コストや影響を最小限に抑えて業務を再開したいと考えています。
ランサムウェア から、 フィッシング 攻撃に至るまで、高度なサイバー攻撃は、企業の情報資産だけでなく、とりわけ業務の継続性や 評判 をも脅かしています。 また、 の規制当局 や投資家から、効果的なサイバーリスク管理の実施を求める圧力が高まる中、多くの経営者は、のサイバーレジリエンス という観点からこの問題に取り組むようになってきています。つまり、攻撃は必ず発生するという現実を受け入れ、その際に備えて復旧計画を策定しているのです。
少なくとも西暦 2000年にまで遡る「 」というレジリエンスの概念（ ）は、パンデミック後のデジタル化が加速する中で、取締役会や経営陣の間でますます真剣な議論の対象となっています。 いかなる防御も絶対無敵ではないという厳しい現実を認めています。
単にインシデントを検知し、 迅速に対応しようとするのではなく、サイバーレジリエンスは、組織がインシデントに耐え、迅速に復旧できるよう備えさせるものです。 これにより、セキュリティ侵害が発生した場合でも、業務、評判、および財務への影響を最小限に抑えることができ、企業は混乱を最小限に抑えつつ、事業勢いを維持することができます。
「サイバーレジリエンスを備えた組織の究極の目標は、サイバー攻撃による業務中断をゼロにすることです。つまり、業務、財務、技術、 サプライチェーン 、あるいは評判に何の影響も及ぼさないことです」と、研究コンソーシアム「Cybersecurity at MIT Sloan（CAMS）」のエグゼクティブ・ディレクターであるケリ・パールソン氏は述べています。 「取締役は、『そうなるためには何が必要か』と自問すべきです。」
サイバーレジリエンス・スコアカードについて取締役会の理解を得る
規制当局は、 サイバーリスク管理や、 取締役会におけるサイバーセキュリティの専門知識の有無 に関する情報開示を、 ますます義務付けています。 したがって、取締役会は理解を深め、リスク管理の専門家への委任にとどまらず、自社の保護に積極的に取り組まなければならないと、パールソン氏は述べています。 これには、事業リスクを効果的に軽減するという株主に対する受託者責任が含まれており、サイバー脅威の状況が深刻化するにつれて、その責任はますます複雑化しています。
「サイバーレジリエンスを備えた組織の究極の目標は、セキュリティ侵害による業務中断をゼロにすることです…… 取締役は、「そうなるためには何が必要か？」と自問すべきです。”MITスローン・サイバーセキュリティ（CAMS）のエグゼクティブ・ディレクター、ケリ・パールソン氏
パールソン氏とその同僚たちが設計した「取締役会のためのサイバーセキュリティ・ガバナンス」と題するこのコースは、取締役会メンバーがこの複雑な分野を適切に handling するために必要な知見を身につけることを目的としており、サイバーセキュリティの監督における取締役会の重要な役割や、サイバーセキュリティ対策を幅広い事業目標と戦略的に整合させることの重要性を強調しています。
より広く言えば、「サイバーレジリエンス・スコアカード」は、ここ数年でレジリエンスへの移行において極めて重要なツールとして登場し、サイバーインシデントに耐える組織の能力を評価、監視、強化するための包括的な枠組みとして機能しています。
サイバーレジリエンス・スコアカードの多角的な視点
インシデント件数や対応時間といった点に狭く焦点を当てがちな従来の指標とは異なり、スコアカードは包括的な視点を取り入れています。 本評価では、保護対策の堅牢性や対応プロトコルの有効性から、復旧への備え、さらには新たな脅威への適応力（ ）に至るまで、サイバーレジリエンスの全領域にわたる要因を評価しています。。 このアプローチにより、組織のサイバーレジリエンスを多角的に把握することができ、的を絞った改善や戦略的な意思決定が可能になります。
「取締役会には、十分な説明なしに、適切な措置を講じたり、適切な決定を下したりする立場にはありません……。」MITのパールソン氏
パールソン氏とMITのチームは、彼女が取締役会での経験をもとに、スコアカードのテンプレートを開発しました。
「スコアカードというアイデアは、私が所属する取締役会での観察から生まれたものです。 取締役たちは、そもそも サイバーセキュリティについてどう話せばよいのか、よく分かっていないのです」と、パールソン氏はの『Focal Point』との独占インタビューで説明しました。 「第二に、 サイバーセキュリティに関して、技術担当者は取締役会にどのように報告すべきか分からないのです。 」 「彼らは、サイバーセキュリティの管理にとって重要な技術的な事項や定量的な事項を報告していますが、実際には、取締役会には、十分な説明がなければ、適切な措置を講じたり、適切な判断を下したりする立場にはないのです。」
[関連記事：CISOの成功事例 ― 取締役会との信頼関係を築くには？ サイバーセキュリティの話題は（あまり）出さないでください]
近年、スコアカードを導入している主な業種には、 銀行業 および 金融サービス, 医療、ITおよびITサービス、製造業、電子商取引などが挙げられます。DeepLearnCyber.aiのCISOであり、CISO向けのスコアカードを開発したマリニ・ラオ氏によると、一部の企業では、規制の強化や サプライチェーン攻撃の増加 を理由に、スコアカードを導入しているとのことです。
「これらのスコアカードは、潜在的な脆弱性について包括的な見通しを提供してくれます」と、彼女は の担当窓口である氏に語りました。 「これらは、さまざまな脅威の発生確率や潜在的な影響を定量化するのに役立ち、組織がそれに応じてリソースや取り組みの優先順位を決定できるようになります。」
「画一的な」ものではありません
「公式」なサイバーレジリエンスの評価基準といったものは存在せず、その実施方法についても「正しい方法」として定められたものはありません。 パールソン氏はこの概念をフレームワークやテンプレートとして考案しましたが、その実践には多少の主観が伴います。 組織は、何が重要であり、どのような指標を追跡・監視することが有益であるかを、自ら定義する必要があります。
「これらのスコアカードは……さまざまな脅威の発生確率や潜在的な影響を定量化するのに役立ち、組織がそれに応じてリソースや取り組みの優先順位を決定できるようになります。」DeepLearnCyber.aiのCISO、マリニ・ラオ氏
以下に、さまざまな組織が作成したサイバーレジリエンス・スコアカードの例をいくつかご紹介します：
- ロッキード・マーティン： ロッキード・マーティンは、 2018において、同社の「 」サイバーレジリエンスレベル（CRL）フレームワーク およびこれに対応する「 」スコアボード を発表し、この期間におけるサイバーレジリエンスの測定に向けた、より体系化されたアプローチを示しました。 同社の「サイバーレジリエンス・スコアボード」には、サイバー衛生やアーキテクチャなど6つのカテゴリーの成熟度を測定するための、アンケートやダッシュボードといったツールが含まれています。
- MIT： 「 」のサイバーレジリエンス・バランススコアカード（BSCR） は、本来であれば互いに切り離されてしまいがちな中核的な活動に関する情報を統合することで、財務および業務上のパフォーマンスに関する洞察を提供します。
- USDA： 農務省（USDA）のサイバーセキュリティ・スコアカード（ ） は、農務局（Farm Service Agency）と共同で作成されたもので、NISTフレームワークに沿ったバランススコアカード・アプローチを採用しており、コンプライアンス、脆弱性管理、インシデント対応などの分野に重点を置いています。 NISTフレームワークに準拠することで、USDAが、さまざまな業界で認知され活用されている、包括的かつ標準化されたサイバーセキュリティへの取り組みを採用することが保証されます。 この取り組みにより、組織はリスクを効果的に管理・軽減する能力を高めると同時に、予防から対応に至るまで、サイバーセキュリティのあらゆる側面が体系的に対処されることが保証されます。
- マリニ・ラオ： ラオ氏の著書『 : CISO Operational Balanced Scorecard』（ ）は、変革的側面と運用的側面を区別し、サイバーセキュリティを戦略的な事業目標と整合させるための二つのアプローチを提示しています。 彼女は、CISOが「弱点を特定し、改善すべき分野の優先順位をつけることができる指標を、積極的に報告することで信頼を築く」のに役立つとして、スコアカードを推奨しています。
[関連記事：サイバー・ハイジーンとは？ なぜそれが重要なのでしょうか？]
サイバーレジリエンス・スコアカードに「万能な」アプローチというものは存在しませんが、一般的に共通して見られる要素がいくつかあります。 既存のサイバーレジリエンス・スコアカードの利用を検討している場合でも、独自のスコアカードを設計する場合でも、以下の基本的な枠組みを参考にしてください：
- リスク評価： 潜在的なサイバーリスクと、それが組織に与える影響を評価します。
- セキュリティ対策： 導入済みのセキュリティ対策の有効性を検証します。
- インシデント対応： 発生しうるサイバーインシデントに対する準備状況と対応戦略の評価。
- 復旧能力： サイバー攻撃から、業務への影響を最小限に抑えて復旧できる能力を測定します。
[関連記事：指標を報告すること自体は重要ですが、自社の実績が業界の他社と比べてどの程度なのかを確認することが何よりも重要です]
独自のサイバーレジリエンス・スコアカードを作成しましょう
ご自身の状況に合わせて効果的なサイバーレジリエンス・スコアカードを作成するには、以下の重要な手順に従ってください：
- 評価と目標設定： まずは、現在のサイバーセキュリティ体制を評価し、組織にとっての「サイバーレジリエンス」とは何かを明確に定義することから始めましょう。 これには、復旧時間の目標設定、インシデントの影響の軽減、あるいはシステムの冗長性の強化などが含まれる可能性があります。
- フレームワークの開発： サイバーレジリエンスの目標に沿ったスコアカードを作成してください。 これには、復旧時間目標（RTO）、 従業員研修 の実施状況、システムのバックアップ頻度、および事業継続計画へのサイバーセキュリティの組み込みなど、定量的および定性的な指標を組み合わせて含める必要があります。
[関連記事：社員研修ではソーシャルエンジニアリングについても取り上げるべき――そのための包括的なガイドはこちら]
- 定期的なモニタリングと報告： スコアカードの指標に基づいて実績をモニタリングするルーチンを確立してください。 このモニタリングは、サイバーセキュリティ・ガバナンス・プロセスの不可欠な要素とすべきであり、取締役会を含む主要なステークホルダーに対して定期的に報告を行う必要があります。
- 継続的な改善： スコアカードから得られた知見を活用し、 のサイバーレジリエンス戦略の継続的な改善を推進しましょう。 これには、サイバーセキュリティ方針の見直し、新技術への投資、あるいは従業員向け研修プログラムの充実などが含まれる可能性があります。
- 取締役会の関与と監督： 取締役会がスコアカードの実施状況を監督する上で、積極的に関与するよう確保してください。 彼らの戦略的洞察力と統括力は、サイバーレジリエンスへの取り組みを、より広範な事業目標と整合させる上で極めて重要となります。
サイバーレジリエンスを優先し、スコアカードなどのツールを導入することで、組織はサイバーインシデントの影響を軽減できるだけでなく、競争力と持続可能性を高めることもできます。 ラオ氏は、 のAI（ ）およびの自動化機能（ ）を活用し、週次や月次のスコアカードの作成など、サイバーレジリエンスに関するレポート作成を強化することを推奨しています。 また、 のサプライチェーン（）も忘れないでください、と彼女は強調しています。企業は、サードパーティのパートナーとも連携し、スコアカードの指標についても報告してもらうようにすべきです。
