新型コロナウイルスの感染拡大が始まった際、シーメンスUSAの最高サイバーセキュリティ責任者であるカート・ジョン氏は、すでに万全の準備を整えていました。
パンデミックのかなり前から、シーメンスは働き方の未来について検討を重ねていました。 その将来像には、リモートで広範囲に分散した、 によるセキュアな労働環境への移行が含まれていました。 ジョン氏によると、世界中でロックダウンが始まった際、この転換は、シーメンスと同規模の他の多くの企業に比べて、それほど大きな打撃にはならず、むしろはるかに生産的なものとなったとのことです。
「新型コロナの流行が来るなんて誰も予想していなかったのですから、私が特別な先見の明があったとは言い切れません」とジョンは言います。 「しかし、私たちがすでに先を見据え、ビジネスの優先事項に合わせて対応し、強固なセキュリティ体制を整えていたおかげで、世の中が変化した際にも、はるかに有利な立場に立つことができました。」 「私たちは幸運でした。」
パンデミック中にで報告されたように、サイバー攻撃の急増に見舞われた他の企業と同様に 、シーメンスでも昨年、フィッシング攻撃の試みが 約30％増加しました。 しかし、ITセキュリティ対策が万全だったため、 385,000 名を超える従業員には大きな影響は及びませんでした。 実際、このグローバルな複合企業では、 2020において侵害されたシステムの数が減少しました。
結局のところ、他の多くの企業についても同様のことが当てはまることが判明しました。 実際、フィッシングやランサムウェア攻撃の急増は、本来予想されたほど多くのサイバー侵害に直接つながることはありませんでした。 それは、最高情報セキュリティ責任者（CISO）たちがその職務をしっかりと果たしたからです。
その結果、他の経営幹部から単なる「コストセンター」と見なされていたCISOたちは、同じ経営幹部たちとバーチャルな会議の席を挟んで向かい合い、価値を提供し、事業戦略に影響を与える存在となったのです。
実際、セキュリティ人材紹介会社のヒッチ・パートナーズ（Hitch Partners）によると、 今年初めに調査対象となったCISOの81％ が、現在は取締役会に報告していると回答しており、パンデミック前の69％と比較すると、その割合はわずかに減少しています。 ガートナー社の最近の推計によると、 2025年までに、 取締役会の40％が サイバーセキュリティ専門委員会を設置することになる見込みです。これは現在の 10％から増加するもので、その委員の一部は元CISOで構成されることになります。 ここでは、「推定」という点に重点を置くべきです。
CISOにとって、この可視性は決して恒久的なものではありません。 実際、世界が多少なりとも平常を取り戻しつつあり、セキュリティのリーダーたちが のRSA Conference 2021（）にオンラインで集まる中、CISOたちは、自らの存在意義を維持するためにどのような行動を取るべきか、自問しています。
「パンデミックが始まったとき、セキュリティ担当者が経営陣や社内の他のメンバーからこれほど大きな称賛を受けるのを目にしたのは、おそらく初めてのことだったと思います」と、Taniumの米州担当CISOであるクリス・ハレンベック氏は述べています。 「多くの人々が、サイバーセキュリティが企業の事業継続を支えるだけでなく、その成長を加速させることにもつながるということを、ようやく理解し始めました。」 「パンデミック後も意思決定の場に参画し続けるためには、CISOは自チームがどのようにビジネスの推進に貢献しているかを、引き続き示し続けていく必要があります。」
このため、CISOたちは3つの重要な戦略を重視しています。
戦略的なビジネス成果と整合させる
ビジネスの成長を牽引する要素との整合性は、ITセキュリティにとって必ずしも得意分野とは限らないのです。 他の多くの技術者と同様、CISOもまた、その技術が企業の業務運営や新規顧客の獲得にどのような影響を与えるかを十分に考慮することなく、最新かつ最先端の技術に魅了されてしまうことがよくあります。 例えば、マイクロソフトは、Windows Vistaオペレーティングシステムの初期バージョンを 2008 でリリースした際、制限の多いセキュリティ機能があまりにも多すぎたため、アナリストやパートナー、メディア、顧客から激しい批判を浴び、企業のIT部門もこれを無視したと報じられています。。
アナリスト企業「エンドポイント・テクノロジーズ・アソシエイツ」の社長、ロジャー・ケイ氏は、CISO（最高情報セキュリティ責任者）たちは、善意に基づいて導入されたものの、ビジネスにとってほとんど価値を生み出さないセキュリティ技術に過剰な投資をしてきた歴史があると述べています。 新たな勢いと、最近のセキュリティ予算の増額を踏まえると、CISOにとって、あの過ちを繰り返さないことが極めて重要です。
「CISOは、自チームがどのようにビジネスの推進に貢献しているかを、引き続き示し続ける必要があります。」Taniumの米州担当CISO、クリス・ハレンベック氏
「意思決定者の輪に入り、より多くの予算を確保できるようになると、つい少し羽目を外したくなるのは人間の本性かもしれません」とケイ氏は述べています。 「CISOには、そんな余裕はありません。」 「経営陣の一員としての地位を維持するためには、管理を厳格化し、ビジネスにとって本当に重要ではないことへの支出を控える必要があります。」
つまり、その代わりに、ビジネス成果に焦点を当てるということです。 これには、運用コストの削減、レジリエンスの向上、従業員体験の改善、および業務効率の向上が含まれます。
また、自社の製品やサービスのセールスポイントとしてセキュリティを位置づけたり、デジタルトランスフォーメーションの取り組みを（その足かせとなるのではなく）加速させたり、組織が規制遵守上の問題に巻き込まれないようにしたり、収益増加につながる可能性のあるセキュリティ上の課題をいち早く見つけ出したりすることなども含まれます。
実りある関係を築く
米国の不動産サイト「 （Zillow）」のCISOであるクリス・ペイン氏は、経営幹部と緊密な関係を保ち、技術的なセキュリティの概念を、彼らが理解し、納得できる形で説明できることの重要性を強調しています。 しかし、彼は、これはまさに双方向の関係であると指摘しています。 CISOは、技術志向のチームと認識を一致させるために、ビジネスの優先事項や方向性を明確に説明できなければなりません。
また、セキュリティは特定の部署だけで成り立つものではないため、CISOが最初からそうした議論に参加し、幅広い人脈を築くことが極めて重要だと、同氏は述べています。 実際、ガートナーによると、 2024年までに、60％のCISO は、営業、財務、マーケティング部門の主要幹部と重要なパートナーシップを構築する必要が生じるとのことです。これは、現在の20％未満から増加する見込みです。 そうした関係性は、技術面での関係性よりも重要になるでしょう。 ガートナーが 2020年初頭に実施した調査によると、でトップクラスの実績を誇るCISO は、IT関係者の3倍もの数の非IT関係者と定期的に面談を行っていることが明らかになりました。
「CISOは、ITセキュリティを最初から組み込むことで、ビジネスが新しい技術をより安全に試すために必要なセキュリティ体制と柔軟性を確保できるということを、あらゆる関係者に説明できなければなりません」とペイン氏は述べています。 「これにより、資産や企業の最重要資産を保護するための強固な基盤を築くことができるだけでなく、企業がリスクを最小限に抑え、はるかに速いペースで新製品やアプリを展開するための道筋を拓くことができます。」
次のステップを実現する
そのような強固な基盤を築くことで、組織は事後に脅威から身を守るのではなく、新たな可能性を切り拓くことができるようになります。 シーメンスのカート・ジョン氏は、自社の「未来の働き方」に向けた準備を進めるにあたり、ネットワーク外で稼働するエンドポイントが増えることは、チームとしても認識していたと述べています。 そこで、彼らはリモートデバイスを保護するための、バランスが取れており、かつ制限の少ない計画を策定し、それが最終的に実を結びました。
「事前に行ったすべての準備が功を奏しました。というのも、隔離措置が始まった時点で、エンドポイントがどこにあろうとも、継続的に制御措置を展開するためのプロセスがすでに整っていたからです」と彼は述べています。
「強固な基盤を構築することで、CISOは事後的に脅威から防御するのではなく、新たな可能性を切り拓くことができるようになります。」
ジョン氏によると、この取り組みが従来のアプローチと一線を画していた点は、必ずしも人々を何かから締め出したり、「ノー」と言ったりすることを中心に据えていなかったことだそうです。 それは、事業や収益、あるいは従業員の保護だけを目的としたものではありませんでした。 むしろ、ビジネスの優先事項を見据え、それらが実現するための道筋をつけるべく、セキュリティ対策を講じたのです。
そこでCISOは真の価値を発揮できると、ジョン氏は付け加えます。すなわち、経営陣と連携して、会社が進もうとしている戦略的な道筋を理解し、経営陣と歩調を合わせて進むことです。
「 のクラウド、 5G、IoT、AIなど、ビジネスに影響を与えるような革新的な技術が数多く存在しています」と彼は述べています。 「CISOが直面することになる最大の課題の一つは、自分たち自身もまだこれらのツールをどう活用すべきか模索している最中であるにもかかわらず、こうした問題について経営陣と足並みを揃える方法をどう見出すかということです。」
たとえその道筋が明確に定まっていない場合でも、CISOは、経営幹部が十分な情報に基づいた意思決定を行えるよう、それらの技術がサイバーセキュリティに及ぼす影響について説明できる必要があります。
