昨年12月にSECの新たなサイバーセキュリティ開示規則「 」（ ）が施行されて以来、ヒューレット・パッカード、マイクロソフト、ユナイテッドヘルス・グループをはじめとする主要な上場企業は、に基づき開示を行っており、 に準拠しています。つまり、これらの企業は、特定のインシデントが「合理的な投資家」にとって重要であり、量的・質的の両面で重要な影響を及ぼすレベルに達していると判断したのです。
SECの新たな規則は、こうした影響を詳細に説明することの重要性を強調し、明確な説明責任を求めているほか、情報漏洩の報告が相次ぐにつれ、企業のサイバーセキュリティリスク管理のプロセスや実態を世間に明らかにしています。
これらは、 最近高まっている監視と規制の波 の一因となっており、企業はサイバーガバナンスを万全に整えることを余儀なくされています。
ここで登場するのが、情報セキュリティコンサルティング会社 Halock Security Labs（）のシニアパートナー兼CEOであるジム・ミロチニック氏です。同氏は、来週開催されるRSAカンファレンスでの講演「: Techniques to Evolve Risk Governance and Comply With SEC Cybersecurity Rule（）」において、戦略と指針を提示する予定です。
同氏は、「許容可能なリスクの明確な基準」が何を意味するのか、既知のリスクの総量をどのように定義すべきか、そして組織がサイバーセキュリティリスクを許容可能なレベルまで低減するためのロードマップをどのように策定すべきかについて論じます。 （このセッションは、5月 6-9 日にサンフランシスコのモスコーン・センターで開催されるRSAC 2024にて、 5月7日（東部標準時）および 13:15 （太平洋標準時）に、16:15 （東部標準時）／（太平洋標準時）の会場で行われます。）
『Focal Point』 は、ミロチニク氏にインタビューを行い、同氏のセッションの概要を伺うとともに、サイバーセキュリティのリスクガバナンスおよびコンプライアンスにおけるベストプラクティスについて学びました。
（このインタビューは、明確さと長さのために編集されています。）
ガバナンスの台頭により、サイバーリスク管理の実務において大きなパラダイムシフトが余儀なくされました。 従来の方法から新しい方法へと、どのような主な変更点がありますか？
私たちは、 PCI DSS [クレジットカードデータを保護する「ペイメント・カード・インダストリー・データ・セキュリティ・スタンダード（PCI DSS）」] により、ガバナンスの強化が求められるようになったことを目の当たりにしてきました。 私たちは、 NIST CSF 2.0、[米国国立標準技術研究所（NIST）が改訂したサイバーセキュリティ・フレームワーク]を視聴しました。これは昨年8月に発表されたものです。 SECのこのサイバーセキュリティ規則により、ガバナンスの強化が求められるようになったことが確認されています。 そこで疑問となるのは、皆が「ガバナンスの強化」を求めているとはいえ、それは具体的にどういう意味なのでしょうか？ 彼らは本当に私たちに何を求めているのでしょうか？
「問題は、皆がより一層のガバナンスを求めているとはいえ、それは具体的にどういう意味なのでしょうか？」 彼らは実際に私たちに何を求めているのでしょうか？”
RSAのセッションで私がお話しする内容は、要するに、これまで私たちがやってきたことは、いわゆる「ガバナンス 1.0」と呼ばれる旧来の方法だったということです。 それでは、次に「ガバナンス 2.0」と呼んでいる新しい要件について見ていきましょう。 「人・プロセス・技術」という単純なパラダイムを見てみると、 1.0の下では、人の側面において、個人の責任が問われていませんでした。 そして、人々は専門的な言葉で説明を受けました。 In governance 2.0, they're asking for clear accountability and ownership all the way to the board and to inform people in business terms.
ここでは、実施可能な5つの取り組みをご紹介します。これらは、法的防御力を確立すること、許容可能なリスクの明確な基準を設定すること、既知のリスクを把握すること、許容可能なレベルに到達するための道筋を示すロードマップを提供できること、そして経営陣への報告を行うことです。 これら5つの能力を身につければ、ガバナンスのレベルは「 1.0 」から「2.0」へと向上します。
現在、弊社では、それらの具体的な内容だけでなく、企業が活用できるテンプレートも提供しております。 もちろん、これらすべての機能を最初から備えているアプリケーションのデモをご覧いただくことも、テンプレートを無料でご利用いただくことも可能です。
SECのサイバーセキュリティ規則とは何でしょうか。また、コンプライアンスの観点から、組織にどのような影響を与えるのでしょうか。 これは上場企業のみに適用されるのでしょうか？
正式名称は「サイバーセキュリティ・リスク管理戦略、ガバナンスおよびインシデント開示」であり、投資家向けのSEC開示報告書に適用されます。 これには、サイバーセキュリティ上のリスクやインシデントに関して、上場企業においては経営陣や取締役会との間で、説明責任、透明性、およびコミュニケーションが求められます。
これらは、組織に対し、「合理的な投資家が理解できる」程度の十分な詳細さをもって、その戦略を明確に説明することを求めています。 経営陣には、リスクやインシデントについて報告することが求められています。 取締役会は、投資に関する意思決定を行うとともに、リスクやインシデントについて を通じて監督を行う必要があります。 さて、どうでしょう――彼らが監督を行うためには、あなたが伝えている内容を理解していなければなりません。 理解していないことは、管理することはできません。 私たちの業界には、情報セキュリティ担当者が取締役会に説明を行い、承認を得ようとするという、長年の課題があります。 しかし、彼らは同じ言語を話していません。
[関連記事：CISOがCEOや取締役会に真剣に耳を傾けてもらうためのサイバーリスクの伝え方]
組織がSECのサイバーセキュリティ規則を遵守するためのヒントには、どのようなものがありますか？
8-K、10-K、20-Fのいずれの様式であっても、開示報告書を適切に作成できるよう、専門家の協力を得て、自社の行動が報告内容に正確に反映されるようにしてください。 というのも、それを公表することは、自社のセキュリティ対策のあり方を示すことになるからです。
「取締役会は……リスクやインシデントに対する監督責任を負わなければなりません。」 さて、どうでしょう――彼らが監督を行うためには、あなたが伝えている内容を理解していなければなりません。”
The second step is to really embrace that the way you govern and manage security has to be done in a governance 2.0 sort of way, meaning security management isn't a project: If what you do once a year is come up with a list of projects, let everyone go, and don't look at it until next year, that's not risk management. それはセキュリティガバナンスではありません。 すべきことは、データベース駆動型のアプリケーション上にリスク登録簿を用意し、新たな情報が寄せられた際、例えばペネトレーションテストの結果が報告されてきた際には、それらを優先順位付けすることです。 インシデントが発生すると、それらのリスクは優先順位付けされます。 それは生き生きとしたプロセスです。
セキュリティをプロセスとして運用することが、ガバナンスです。 つまり、リスク登録簿が継続的に更新され、是正計画も更新され、新たなリスクが次々と発生して既存のリスクを置き換え、最優先のリスクへの注力が後回しにされ、かつ、時間をかけてリスクを許容可能な水準まで引き下げることを目標としてその対応を行っている場合、規制当局や訴訟担当者はそれを見て、「実はね、」と言うでしょう。 のセキュリティ侵害（ ）が発生しました。 「管理体制が整っていませんでした。」 とはいえ、物事がすべて完璧であるはずはありません。 しかし、そのプロセスは想定通りに進行しています。 彼らは、他者への危害の程度を評価しています。
組織は、PCI DSS 4.0 およびNIST 2.0への準拠にどのように取り組むべきでしょうか？
私は、おそらく10年以上、PCI認定セキュリティアセッサーを務めてまいりました。 また、最新版の「PCI DSS 4.0 」では、基準がさらに引き上げられています。 このシステムは［タスクについて一定の時間枠を守ることを求めていますが］、基本的には［自身のニーズや環境に応じて］自分なりのペースを設定することが求められます。 これには、 に関する的を絞ったリスク分析が必要です。。 彼らは、NISTが言っていることと実質的に同じことを言っているのです。 NISTは、現在、[ガバナンス]機能が整備されたと述べています。 また、そのモジュールには、組織の使命をどのように理解すべきかについて述べた要件が含まれています。
[関連記事：GenAIの導入競争？ セキュリティは、適切なガバナンスから始まります]
それでは、そのことを考えてみてください。 情報セキュリティ部門は、企業の使命を理解しなければならないと言われているそうです。これはガバナンスの一環です。 彼らは、NISTの情報セキュリティマネージャーに対し、リスク選好度と許容度を理解するよう求めています。つまり、「許容できるリスクの境界線はどこか。その境界線を超えた場合は是正措置を講じ、下回った場合は容認するのか」ということです。 そして、サイバーセキュリティリスクを算定し、優先順位をつけるための標準的な手法を求めています。
組織がサイバーセキュリティリスクを低減し、コンプライアンスを管理するためには、どのようなロードマップが必要でしょうか？
これはおそらく、私たちの業界において最も興味深い現象の一つでしょう。 「ロードマップを一緒に考えてください」と言ってくださったクライアントの数は、両手の指を合わせても数えきれないほどです。 彼らはこう言います。「取締役会の前に立つと、何を提示すればいいのか分からなくなってしまいます。結局、統計に関する同じ問題に立ち戻ってしまうからです。」
「開示報告書を適切に作成できるよう、専門家の助けを借りてください。そうすることで、ご自身の言動が正確に反映されるようになります。」
CISOは、意思決定を行うために、ビジネス用語で話し合うことを望んでいます。 しかし、誰かに2年間のロードマップを示す際には、そのロードマップには、どこへ向かっているのか、そしてなぜそこへ向かっているのかが説明されていなければなりません。 私たちは過去10年間、クライアントの皆様がロードマップを作成できるよう支援してまいりましたが、その過程で次のようなことがわかりました。すなわち、ロードマップ全体をどのように定義するかは、私たちが毎年受ける健康診断の際に求められる情報と、それほど変わらないということです。 知りたいのは、「私は大丈夫でしょうか？」ということです。 もし私がうまくいっていないとしたら、どうすればうまくいくようになるのでしょうか？ あらゆる割合や統計データを羅列した長いリストには、私たちは興味がありません。
私たちが組織に対して常に推奨しているのは、最初からこうした課題に真正面から向き合うことです。 「OK」とは、許容可能なリスクの範囲内であることを意味します。 そして、その「許容可能なリスク」の範囲は、組織が評価を行う際の定量的なスコアを表しています。
今後、ITサイバーセキュリティのコンプライアンスはどのように変化していくのでしょうか？
まず第一に、私たちの業界は慢性的にリソース不足に陥っています。 情報セキュリティの専門家からなるチームを率いるCISOが、「特にやることがない」とか「今はちょっと行き詰まっている」などと言うことは、めったにありません。 いつもその逆なんです。 では、なぜそのようなことが起きているのでしょうか？ というのも、リソースを提供してくれる人たちとは異なる言語を話している場合、必要なリソースの正当性を説明するのは非常に難しいからです。
[関連記事：CISOの成功事例 ― 取締役会との信頼関係を築くには？ サイバーセキュリティの話題は（あまり）出さないでください]
もうひとつ挙げられるのは、私たちの世界の大部分が、ガバナンス・リスク・コンプライアンス（GRC）アプリケーションを導入していないということです。 それらはスプレッドシートにまとめられているか、あるいはリスク登録簿すら存在しないのです。 GRCアプリケーションが、 リスク管理プロセスの自動化を通じて課題の解決に役立つことは誰もが知っています。しかし、その導入には多額の費用と多大な労力がかかることも、皆よく認識しています。
弊社では「Reasonable Risk」というアプリケーションを開発いたしました。このアプリケーションは、ごくわずかな手間で、一般的なGRCソリューションよりもはるかに高い機能性を提供いたします。 これは今後のトレンドになると思います。つまり、スプレッドシートから脱却し、リスク管理へと移行する方法です。なぜなら、人々はスプレッドシートやPDFファイルではなく、データベース駆動型のアプリケーションを通じて、このプロセスを自動化する必要が出てくるからです。
私が注目しているもう一つの傾向は、「デューティ・オブ・ケア・リスク分析（DoCRA）」や、それに類する手法が広まっていることです。これらの手法を用いることで、取締役会や経営陣が理解しやすい言葉で説明することが可能になります。 これについて、わかりやすい例えを挙げると、かつては誰もが辞書、つまり紙の辞書を持っていたものです。 会話にはあまり役立ちませんでしたが、その後、Google翻訳やその他のオンライン翻訳サービスが登場しました。 これで、さっと翻訳するだけで、どんな言語でも相手とほぼリアルタイムで会話ができるようになりました。
ですから、将来起こり得ると私が考えていることの一つは、サイバーセキュリティ部門が取締役会と対等に議論できるようになるということです。それは、脅威や脆弱性、影響といった言葉ではなく、共通の言語で話し合えるようになるからです。 そうすることで、リソースの承認を得られるだけでなく、より良好な関係を築き、意思決定の場に参画できるようになります。
RSAC 2024 のその他の記事
その他の注目ポイントについては、RSA Conference 2024の会場内および周辺で講演を行った参加者への、以下の独占インタビューもぜひご覧ください：
