ハッキングやデータ漏洩によって企業が被りうる財務的、法的、および評判上の損害を考慮すると、サイバーセキュリティに関する知識を持つ取締役を登用する企業が増えています。 しかし、業界によっては、多くの企業の取締役会が、サイバーセキュリティの問題について、本来あるべきほど十分な知識を持っていないのが実情です。 そのほかの人々は、そのことを知らされたとしても、依然としてリスク管理における自らの役割を模索しているところです。
昨年、 とMITスローンが実施した調査（ ）によると、取締役会のうち、サイバーセキュリティについて定期的に議論しているのはわずか68％であるのに対し、 9％は依然として全く議論していないことが明らかになりました。 さらに、半数がサイバーセキュリティに関する取締役会の役割について議論があったと回答したものの、その役割がどうあるべきかについては合意に至りませんでした。
では、CISOや経営幹部は、こうした議論や遅延の悪循環を断ち切るために、どのような対策を講じることができるでしょうか？
この件については、RSA Conference 2023で開催されるパネルディスカッション「Do Better: Board-Level Accountability in Cybersecurity」で議論される予定です。このパネルディスカッションは、TaniumのCISOであるクリス・ハレンベック氏が司会を務め、Zoom Video Communicationsの副法務顧問であるグレッグ・シルバーマン氏、Diligent Corp.のCEOであるブライアン・スタッフォード氏、そしてGrand Reserve InnのCEOであるマギー・ワイルダーロッター氏が登壇します。 （このパネルディスカッションは、4月 24-27 日にサンフランシスコのモスコーン・センターで開催されるRSAC 2023において、月曜日（ 4月24日）の 11:30 （東部時間）／8:30 （太平洋時間）に行われます。）
取締役会の説明責任が問われる状況において、その重要性はこれ以上ないほど高まっています。 ランサムウェア の感染拡大、大規模なデータ漏洩、そして ビジネスメール詐欺（BEC） 攻撃の急増など、201年（ 2022 ）は、サイバーセキュリティの分野において、おそらく史上最悪の年の一つだったと言えるでしょう。 The FBI logged more than 800,000 cybercrime complaints in 2022 with total losses exceeding $10 billion compared to $6.9 billion in the prior year. また、ハッカーたちは の何百万もの個人アカウントからデータや資金を盗み出し、その結果、今年のサイバーセキュリティ予算を増額した組織は 57％に達しました。 こうした一連の出来事を受け、米国証券取引委員会（SEC）は昨年、 において、米国企業およびその取締役会の事業運営に多大な影響を与える一連の新規制案を提案しました。
『Focal Point』の は、Hallenbeck氏にインタビューを行い、取締役会がサイバー脅威にどのように対応しているか、またCISOが取締役会とより緊密に連携するために知っておくべきことについて、同氏の見解を伺いました。
サイバーセキュリティ問題に対する取締役会の説明責任は、ここ数年でどのように変化してきたのでしょうか？
長い間、取締役会はサイバーセキュリティを、コストセンター、単なるチェックリスト上の項目、あるいはITの専門家が対応するのが最適な「ぜいたく」な業務と見なしてきました。 彼らは、そのような事柄に直接関与することにはあまり乗り気ではありませんでした。 しかし、情報漏洩が 財務上の、 法的な、そして 企業イメージ といった問題を引き起こし始めたため、取締役たちは、事業に影響を与える問題について最新情報を得るためにCISOに目を向け始めました。つまり、CISOは 技術用語 ではなく、ビジネス用語で話す方法を学ぶ必要が出てきたのです。
「長い間、取締役会はサイバーセキュリティを、コストセンター、単なるチェック項目、あるいはITの専門家が対応すべき業務上の「ぜいたく品」と見なしてきました。 彼らは直接関与することにあまり乗り気ではありませんでした。”Chris Hallenbeck, CISO, Tanium
現在、 リモートワークやハイブリッドワークへの移行 により、脅威の状況はかつてないほど複雑化し、エンドポイントの脆弱性も増している中、取締役会のメンバーのうち1名以上がサイバーセキュリティに関する専門知識、あるいは少なくとも基本的な知識を持っていることが期待されるという、新たな傾向が見られます。 より多くの組織において、監査委員会の全員ではないにせよ、その委員会の誰かがサイバーセキュリティに時間を割くようになるでしょう。 それはまた別の話ですね。
これはあらゆる業界で起きていることなのでしょうか？
この傾向はどこでも見られると思いますが、取締役会がサイバーリスクの管理に注力するペースは業界によって異なります。
たとえば、 の医療分野（）に携わっている場合、業務の多くはデータや電子システムによって管理されています。 もし取締役会に、そのことがサイバーセキュリティに及ぼす影響を理解している人物がいなければ、それは重大な失敗と見なされる可能性があります。 の金融サービス や、その他のリスク回避的なセクターについても同様です。 データ漏洩による被害がそれほど深刻ではなく、規制もそれほど厳しくないため、取締役会レベルでのサイバーセキュリティ意識の向上がそれほど強く求められていない業界もあります。
[関連記事：サイバーリスクガバナンスを改善するために、すべての取締役が考慮すべき4つの課題をご紹介します]
そうですね、どの業界でも取締役会はこの方向に向かっていますが、そのスピードはそれぞれ異なります。
こうした新たな現実を踏まえ、CISOは取締役会とどのようにコミュニケーションを図るべきでしょうか？
取締役会メンバーが重視しているのはリスクであるため、彼らはリスクに関する議論の枠組みを明確に設定する必要があります。 このサイバーセキュリティインシデント、あるいはニアミスは、ビジネスにどのようなリスクをもたらすのでしょうか？ それこそが、取締役や経営幹部に理解してもらえる言葉なのです。
ビジネス上の課題と技術的な課題をうまく融合させた妥協点を見つけるのは構いませんが、相手の目が虚ろにならないように注意してください。 それに、 あまり詳しく触れたくないですよね。 しかし同時に、長期的に見てより重要な意味を持つ可能性のある、あなたが解決した課題について、相手に伝えることも忘れてはなりません。
多くのCISOは、あまりにも頻繁に、極めて運用的な観点から職務を遂行しています。 彼らは問題を見つけ、それを解決し、次のことに取り掛かります。 その代わりに、彼らはこうした問題のいくつかについて取締役会に報告し、「この問題は最近解決しました」と伝えるべきです。 「当時はわざわざご報告する必要はありませんでしたが、これは今後再び表面化し、事業に影響を及ぼす可能性のある傾向を示唆するものでしたから、ご留意いただくべきでしょう。」
[関連記事：CISOがバーンアウトと闘い、キャリアを長く続ける方法]
サイバーセキュリティに関しては、取締役会に説得力のある説明を行うために、細部に至るまでくどくどと説明する必要はありません。 しかし、私たちが直面している課題について十分な概要を示し、将来それらに対処するための具体的な提言を行うべきです。
CISOが取締役会メンバーとコミュニケーションをとる際、最も犯しがちな過ちは何でしょうか？
説明が長すぎます。 要点を押さえておきたいですね。 必要なデータや要点を、できるだけ簡潔にまとめてください。 それでは、その賢い方々に、聞きたいことを何でも聞いていただきましょう。 相手の質問をよく聞いて、相手が本当に知りたいことを理解しましょう。 また、相手のコメントには注意を払ってください。そのコメントからは、相手の関心事や懸念事項が読み取れるため、次回お会いする際には、それに応じてプレゼンテーションの内容を調整することができます。
「相手の目が虚ろになっていないか注意深く観察してください……そして、あなたの話している内容が相手の求めているものと合致しているかどうか、ボディランゲージからも読み取ってください。 そうでない場合は、その場で調整してください。”ハレンベック
実のところ、私が最も重要だと考えるアドバイスは、相手の目がどこかで虚ろになっていないか注意深く観察し、また、あなたの説明内容が相手の求めているものと合致しているかどうかを、相手のボディランゲージから読み取ることです。 そうでない場合は、その場で調整してください。
取締役会の説明責任、そして取締役会全体のサイバーセキュリティに対する意識の高まりという傾向は、今後も続くとお考えですか？
もちろんです。 繰り返しになりますが、これは業界によって異なります。 将来的には、規制当局が一部の企業に対し、監査委員会にサイバーセキュリティの責任を担う人物を配置するよう求める可能性があるでしょう。
[関連記事：著名なテクノロジー戦略家が、取締役会に常に尋ねるよう勧めているサイバーセキュリティに関する6つの質問を明かします]
サイバー保険 を提供する企業も、将来的には保険料率の適用条件として、同様の要件を求めるようになる可能性があります。 とはいえ、取締役会としては、「自社の組織ではサイバーセキュリティインシデントは起こらないし、起こるべきでもない」という考えから脱却し、成熟の過程を経ていく必要があると思います。 サイバーセキュリティ上のインシデントは、残念ながら避けられない現実であるということを、彼らは理解しておく必要があります――たとえそれを防ぐためにどれほど投資したとしても。
むしろ、そうした事例の発生頻度や深刻度をどのように抑えるかについて話し合う必要があります。 サイバーセキュリティ上の脅威に実用的かつ効果的に対処するためには、リスクと受容のバランスが不可欠です。