他のすべての経営幹部と同様、最高情報セキュリティ責任者（CISO）も、自身の責任範囲内で何かが深刻な事態に陥った場合、失業の危機に直面する可能性があります。
しかし、もしCISOが十分なビジネス価値を示せていないとしたら、どうなるでしょうか？
現在、 景気後退の懸念が高まっている 状況下で、企業がコスト削減を進めている中、サイバーセキュリティ対策がビジネスに有益であることを証明することは、予算と雇用を守る上で極めて重要となっています。
そのため、世界中のサイバーセキュリティの責任者にとって、パフォーマンスのベンチマーク調査が必須となりつつあります。 実際、業界調査会社 のガートナー社は、 において、2026年までに、全C級幹部の半数について、雇用契約にリスクに関連した業績要件が盛り込まれるようになると予測しています。 そのようなインセンティブは、人の意識を集中させる傾向があります。
サイバーセキュリティのベンチマーク実施を求める声が高まっています
経営幹部がリスクベースの業績評価指標に直面する機会が増えるにつれ、CISOは会議や報告書において、自らが推進するプログラムの成果を数値化するというプレッシャーを、ほぼ間違いなくより強く感じるようになるでしょう。 つまり、テクノロジー中心の「快適ゾーン」から飛び出し、イノベーションの促進、投資成果の向上、サイバーセキュリティの成熟度向上といったビジネス上の課題をより優先させるということです。
「CISOたちは経営陣との対話に苦労しています。というのも、経営陣が知りたいのは『自分は安全なのか？』ということだからです。 「私は安全なのでしょうか？」」 市場調査会社IDCのセキュリティ・トラスト担当グループ副社長、フランク・ディクソン氏は次のように述べています。 「しかし、CISOは往々にして、そうした疑問に答えられない、活動に関する機能の数々を報告する傾向にあり、それがCEOを苛立たせているのです。」
ディクソン氏によると、CISOが強調すべきなのは、自らの活動がどのようにリスクを低減するかという点だといいます。 そのために、パフォーマンス・ベンチマークを活用することで、経営陣はリスク低減に向けた進捗状況を把握し、自社のプログラムが社内目標や他社と比較してどの程度の位置にあるかを明らかにすることができます。 さらに、CISOがビジネスに関連するデータを収集し、提示できるようにします。
[関連記事：何よりも重要なのは最終的な収益です。そこで、サイバー指標を効果的に活用するための重要なヒントをご紹介します――取締役会には、具体的な収益実績を示しましょう]
「最近では、取締役会や経営陣がサイバーセキュリティに以前よりはるかに深く関与するようになっています」と、グローバル調査会社ThoughtLab GroupのCEO、ルー・セリ氏は述べています。 「彼らは、不利な立場に追い込まれないようにしたいと考えています。」 「彼らは、他の人たちより少ない仕事しかしたくないとは思っていないのです。」
標準を決める時が来ました
業界や団体が策定した数多くのITセキュリティフレームワークは、ベンチマークの参考として有用です。その例としては、米国国立標準技術研究所 （NIST）の「 」サイバーセキュリティ・フレームワーク、米国国防総省（DoD）の「 」サイバーセキュリティ成熟度モデル認証（CMMC）、国際標準化機構（ISO） のISO 27000 シリーズ規格 （ISO 27001 および27002 はサイバーセキュリティ分野で一般的に用いられています）、ならびに情報セキュリティフォーラム（ISF） の「情報セキュリティに関するグッドプラクティス基準」 などが挙げられます。 ほとんどの組織やツールでは、こうしたフレームワークが採用されています。
「取締役会や経営陣は……不利な立場に追い込まれないよう、万全を期したいと考えています。」 彼らは他の人たちより少ないことをしたくありません。”ThoughtLab Group 最高経営責任者（CEO）、ルー・セリ氏
ディクソン氏は、これらすべてのフレームワークを検討する価値はあると述べていますが、その適用可能性や有用性は業界によって異なる場合があると指摘しています。 彼は、それらを調べて比較した上で、「自分に合ったものを選ぶ」のが良いと述べています。
適切に実施されれば、サイバーセキュリティのベンチマークに沿ったプログラムは、ネットワーク侵害が発生する確率を低減することができます。 実際、ThoughtLabが最近実施した 1,200 社の大企業を対象とした調査によると、NISTサイバーセキュリティフレームワークの導入が進んでいる企業は、侵害の検知にかかる時間といった主要な指標において、他の企業よりも優れた実績を示しています（導入が進んでいる企業では119 日、それ以外の企業では132 日）。 同報告書によると、主要企業では、年間における重大な情報漏洩の件数も少なかったとのことです。
これらは、統計ボードや経営陣が好んで耳にするような数字です。 これらは、組織が攻撃を受けるリスクが低いことを示しており、自社のデータだけでなく、顧客やパートナーのデータも保護していることを一般に伝えるのに役立ちます。
[関連記事：組織の「至宝」とも言えるデータを保護するための 5 のステップ]
深刻なサイバー攻撃を受ける可能性が低くなることで、企業ははるかに機動性を高め、イノベーションを推進できるようになり、それが競争優位性につながる可能性があります。
「社内の体制が整っており、ある程度の機動力を見せることができれば、リーダーたちに対して『シフト・レフト』の考え方を推進していることを示すことができます」と、ISFの著名アナリストであるポール・ワッツ氏は述べています。 「ここでは、組織のセキュリティにおいて、人、プロセス、テクノロジーに対して、先手を打った姿勢をとることになります。」 つまり、柔軟に対応し、迅速かつ革新的な方法で物事を進めることができるということです。 「あなたには、新しいことに挑戦する柔軟性があります。」
アプローチはさまざまです
とはいえ、ITセキュリティチームが主要な基準にどのように準拠しているかを示す関連データを収集するのは、手間がかかり、難しい場合があります。 すべての組織がこれを特にうまく行えているわけではありません。
例えば、今でも多くの人がDIYで対応しています。 彼らは基準を選定し、組織内の各所から実績データを収集する担当者を割り当て、そのデータをスプレッドシートに入力します。 問題は、データの収集に非常に時間がかかること、そして最終結果が入力された時点で、すでに情報が古くなっていることがよくあるという点です。 その結果、取締役会や経営陣への報告は、ビジネス上の意思決定にとってそれほど有益ではない可能性があります。
もう一つの方法は、コンサルタントを起用してサイバーセキュリティのベンチマーク分析を行うことです。 これにより、CISOのスタッフにはないリソースや専門知識を即座に提供することができます。 そして、おそらく、こうした社外の専門家は、 のサイバーセキュリティ・フレームワークの動向 について、社内スタッフよりも最新の状況を把握している可能性があります。 これらは企業に対し、自社のセキュリティ態勢について大まかな見通しを示すことはできますが、DIY型のアプローチと同様、これらは特定の時点における「スナップショット」的な評価に過ぎず、経営幹部にとって最も適切な文脈を提供できない可能性があります。
3つ目のアプローチは、企業全体を俯瞰し、関連データを大規模に収集し、リアルタイムで報告できるサードパーティ製のパフォーマンスベンチマークツールに投資することです。 リアルタイムのツールを活用することで、成果物が納品時に古くなっていないことを保証します。
ベンチマークツールは数多く利用可能です。 例えば、一部のベンダーは、自社製品に組み込まれている、あるいは製品とセットで販売されているツールをリリースしています。 優れたツールを利用すれば、組織は自社のITリスク指標（ ） を業界の同業他社とリアルタイムで比較し、同じコンソールから即座に問題を解決することができます。 ISFなどの団体も、会員向けに の無料サイバーセキュリティベンチマークツール を提供しているほか、セキュリティ産業協会（SIA）などの団体は、の有用なベンチマーク調査を提供しています。 また、ガートナーは、独自の「 」ベンチマークツール（）の提供も計画しています。
指標の整合
要するに、組織には業績をベンチマークするための方法は数多くあります。 いくつかのアプローチを組み合わせると、役立つ場合があります。 実際、そうすることをお勧めします。なぜなら、ベンチマーク情報は、規模が小さく、代表性に欠けるサンプルセットに基づいている場合があるからです。 したがって、内部データと外部データを組み合わせることで、指標に基づく組織の進捗状況について、より広範かつバランスのとれた視点を得ることができます。
「社内の体制が整っており、ある程度の機敏性を発揮できるのであれば、リーダーたちに『シフト・レフト』の考え方を推進していることを示すことができます。」ポール・ワッツ氏、情報セキュリティ・フォーラム（ISF）の著名なアナリスト
指標がビジネスのニーズと確実に整合するよう、CISOは取締役や経営幹部と継続的に対話を行い、優先順位の変化を把握する必要があります。 ISFのワッツ氏は、こうした対話を通じて、リーダーたちが長期的にどの程度のリスクを受け入れる用意があるかを評価すべきだと述べています。
「[企業]によってリスク許容度は異なります」と彼は述べています。 「創業間もないスタートアップ企業は、成長を目指している最中であり、多少の失敗も厭わないため、一般的に少しばかりリスクを冒すことを厭いません。」 「大規模な組織、とりわけ厳しい規制を受けている組織や、投資家から説明責任を問われる組織ほど、リスク回避的になる傾向があります。」
[関連記事：CISOがCEOに真剣に耳を傾けてもらえるよう、サイバーリスクについてどう説明すべきか]
ワッツ氏はさらに、CISOは経営幹部と協力して、組織が目指すべきサイバーセキュリティの成熟度レベルを決定し、その水準を競争優位性へと転換するための道筋について合意すべきだと述べています。
グローバルなCEOアドバイザリー企業であるテネオのリスクアドバイザリー担当副社長、ブローガン・イングスタッド氏は、CISOは実際のサイバーセキュリティ指標を確実に評価しているかどうかも確認すべきだと述べています。 彼によると、一部の経営幹部は、人員数や予算といった業務上の懸念事項が、サイバーセキュリティの指標として扱われるべきだと考えているそうです。 経営の観点からは重要ではありますが、CISOは、セキュリティに特化したベンチマークや目標に対する組織の進捗状況を示すことに、より重点を置くべきだと同氏は述べています。
また、IDCのディクソン氏は、指標の多さに溺れないようにすることも重要だと述べています。 CISOの方々は、 10 や20 もの種類の指標を追いかける必要があると考えてしまいがちですが、実際には、ごく少数の指標に焦点を絞ったほうがよいでしょう。 ディクソン氏は、セキュリティの効率性、リスク、そしてビジネス価値の3つを推奨しています。
「セキュリティの分野では、完璧を目指そうとして、ついそのことに囚われてしまうことがよくあります」と彼は言います。 「完璧は良きものの敵であり、指標に関しては『十分』で構いません。」
