リスク管理とは、定義されたリスク許容度に基づき、リスクを収集、分類、分析し、それに基づいて対応を行う仕組みであり、潜在的な問題に対処し、脅威の深刻度や影響を軽減するための具体的な軽減策や緊急時対応計画を策定することも含まれます。
リスク管理とは、徹底したリスク評価を行い、リスクの発生確率や重大性を把握することで、状況の継続的な監視を行い、被害やミスを最小限に抑えるために講じられた措置の有効性を評価することを指します。 これにより、組織は、ツールや人材、プロセスへの投資を通じて、タイムリーな調整や先を見越した対策を講じるなど、十分な情報に基づいた意思決定を行う能力を高めることができます。
しかし、リスク管理の意味は組織ごとに異なります。各組織は、業界、事業規模、戦略的優先事項に応じて、リスクの優先順位を異なる形で設定する必要があるからです。
例えば、金融機関は取り扱っているデータの機密性の高さからサイバーセキュリティリスクを優先する一方、製造企業は機械や生産プロセスに関連する業務リスクにより重点を置く場合があります。
本記事では、リスク管理の定義と重要性について解説し、その概念をわかりやすく説明します。 また、リスクの特定、評価、優先順位付けをはじめ、対応措置やモニタリングに至るまで、このプロセスの主要な構成要素についても概説いたします。
サイバーセキュリティの脅威、コンプライアンス上の問題、新しいAI技術によって生じるリスクなど、多くの組織が直面する優先度の高いリスクを考察しつつ、組織目標の達成における効果的なリスク管理の重要性について議論します。
さらに、リスクの受容、軽減、低減、移転といった一般的なリスク管理の実践や戦略に加え、リスク管理フレームワークの導入、サードパーティのリスク評価、緊急時対応計画、根本原因分析についても探求します。
最後に、従来のリスク管理とエンタープライズ・リスク管理（ERM）を比較し、次世代のリスクおよび コンプライアンス管理に向けたERMの進化について検証します。。
リスク管理を理解し、独自のビジネスニーズに合わせてプロセスを調整する方法を把握することで、組織はより効果的な評価を実施し、的を絞った戦略を策定し、最も重要なリスクに対処するための準備をより万全に整えることができます。
リスク管理の定義
国際標準化機構（ISO）のリスク管理に関するガイドライン『 』（ISO 31000） では、リスクを「不確実性が目標に及ぼす影響」と定義しています。 不確実性とは、何かが疑いの余地を完全に排除できていないことを意味します。 例えば、ある組織が自社のサーバーが絶対にダウンしないと確信している場合、サーバーは確実に稼働し続けるため、リスク分析を行う際にはそれらを考慮対象外とします。 現実の世界では、不確実性が数多く存在し、サーバーがダウンするかどうかを含め、多くの場合、自分の力ではどうにもできないものです。
リスク管理の真の役割は、重要な不確実性、すなわち組織の目標に影響を及ぼしうる不確実性に焦点を当てることにあります。 ここでは、民間企業や政府機関を含め、ほぼすべての組織にとって重要な、いくつかの主要な目標をご紹介します：
- データの機密性、完全性、および可用性： データのセキュリティを確保し、権限のあるユーザーが利用できるようにすること
- 事業継続： 組織の使命を果たすための事業継続
- 規制への準拠： 適用されるすべての法律、規制、および基準を遵守しています
リスク、不確実性、および目標についてこのように理解した上で、その目的と手法を考慮した、より明快なリスク管理の定義を提示することができます。 リスク管理とは、活動やインフラを継続的に監視し、長期的な安定性と成功を確保することで、組織が潜在的なリスクに対処し、目標を達成できるよう支援する包括的なアプローチです。
リスク管理について定義しましたので、次は、その重要性について考えてみましょう。 その重要性を理解することは、組織にとって極めて重要です。なぜなら、それによって組織は潜在的な課題を予測し、損失を最小限に抑え、長期的な成功を確実なものにすることができるからです。 次のセクションでは、効果的なリスク管理がなぜ不可欠なのか、またそれが戦略的目標の達成や のサイバーレジリエンスの維持にどのように寄与するのかについて解説します。。
効果的なリスク管理の重要性
リスク管理が重要である理由は、管理や軽減措置が講じられていないリスクが、組織の目標達成を妨げるような混乱を招く可能性があるからです。
今日、ほぼすべての組織が直面している、優先度の高いリスクのいくつかについて考えてみましょう：
- サイバーセキュリティのリスク： サイバー攻撃は、その手口がますます巧妙化し、発生頻度も高まっており、攻撃による被害額も増え続けています。 IT部門やセキュリティチームが侵害の原因を突き止め、その拡大を防ぐために要する費用もあります。 その他には、コールセンターの設置や、顧客や規制当局との連絡・対応などが挙げられます。 その他のコストとしては、ブランドイメージの低下が挙げられます。
- コンプライアンスリスク： 規制を遵守しなかった場合、多額の行政処分、メディアによる批判、顧客との関係悪化、ビジネスの損失など、さまざまな問題が生じる可能性があります。 データプライバシーやその他の規制が強化されるにつれ、コンプライアンスを維持することはますます複雑になっています。
- 新しいAI技術がもたらすリスク： ここ数年、AIは、戦略的な投資とは見なされることなく、音声認識アプリやチャットボットなどに採用される技術となっています。 ChatGPTの登場と急速な普及により、その状況は一変しました。
[関連記事：ジェネレーティブAIがもたらす 3 の最大の脅威（さらに1つのリスク）と、それらに対抗する方法]
しかし、この導入にはリスクが伴います。なぜなら、最も有用なAIアプリケーションは、顧客とのやり取りや財務記録など、組織にとって最も価値のあるデータを扱う必要があるからです。 従業員は、うっかりして公用のチャットボットを通じて機密情報を漏洩してしまう可能性があります。 したがって、現代のリスク回避戦略においては、AIを考慮に入れる必要があります。
こうしたリスクを踏まえると、組織が市場を変革する新しい技術を急速に導入している状況下であっても、リスクを低減・軽減するためのプロセスを導入することが、これまで以上に重要となっています。
標準的なリスク管理プロセスの理解
リスク管理とは、究極的には、組織の目標に関する不確実性を理解し、軽減することにあります。 このプロセスにはリスクを比較するための複数の段階が含まれており、一度実施しただけで完了とみなされるものではありません。
リスク管理とは、以下の5つの主要な要素から構成される一連の活動のライフサイクルです：
1. 戦略目標に関連するリスクの特定
リスク管理は、組織が抱える法的、環境的、市場的、規制上、および技術的なリスクを特定することから始まり、その後、人材、プロセス、および技術が、いかにして事業目標の達成を支えるかを整合させることから始まります。
この作業を、 サプライチェーン分析だとお考えください。 コンプライアンスチームは、大枠の目標から、組織がその目標を達成するために役立つ具体的なITシステムやプロセスに至るまで、データ、人材、業務の流れを追跡します。 それらのシステムやプロセスは、目標そのもののためのサプライチェーンとして機能しています。
リスクを測定するためには、サプライチェーンにおける依存関係を特定し、組織の目標や能力の範囲内で合理的な範囲までその依存関係を追跡する必要があります。 リスクを比較するためには、サプライチェーンのあらゆる要素に サイバーリスクスコアを割り当てる必要があります。
これらの目標が特定されたら、次のステップは、リスクの範囲やリスクとその他の組織的要因との関連性を分析し、そのリスクがもたらしうる深刻度や潜在的な影響を把握することです。
2。 重み付け尺度を作成してリスクの優先順位を決定する
リスクは、その重大度と発生の可能性に基づいて、ランク付けし、優先順位をつける必要があります。 このステップにより、組織は自社のリスクエクスポージャーを包括的に把握し、1から10までの尺度でスコアを割り当てることで、最も重要なリスクに焦点を当てることができます。 戦略目標そのものでさえ、比較・評価を行う必要があります。 組織がすべての戦略目標を同等に扱うことはめったにありません。
例えば、経営陣との話し合いを踏まえ、リーダーたちは、少なくとも年平均成長率（CAGR） 10％の継続的な売上高の伸びに10点、規制遵守に7点を割り当てるかもしれません。
次に、各戦略目標を支える人材、プロセス、および技術を特定し、それぞれの支援要因の重要度を順位付けしてください。
さらに詳細な見通しを立てるためには、ビジネス部門とIT部門の関係者が協力し、特定の種類の障害が発生する可能性を推定する必要があります。 例えば、ビジネスに不可欠なモバイルアプリを支えるWebサーバーを運用している組織を想像してみてください。 そのサーバーが利用のピーク時に許容できないほどパフォーマンスが低下する可能性は、主電源と予備電源の両方がダウンするような停電に見舞われる可能性よりも高いと思われます。
サーバーの戦略的重要性に対するスコア（例えば10点満点中7点）に、特定のリスクが発生する可能性（例えば 50％または 0.5）を乗じることで、チームはリスクの優先順位付けを開始し、より早急な対応が必要なリスクを特定することができます。
例えば、パフォーマンスが低下しているサーバーの発生確率は 40％であり、大規模な停電によってサーバーがダウンする可能性は 2％である可能性があります。 サーバーの重要度が10点満点中7点の場合、パフォーマンス低下のシナリオにおけるリスクスコアは、0.40 の7倍（つまり2.8）となります。
停電シナリオのリスクスコアは、 0.02 の7倍（つまり0.14）となります。 リスクスコアが高い「パフォーマンス低下のシナリオ」は、まず注目すべきリスクです。
[関連記事：この人物の計算式を使えば、サイバーリスクを（正確に）予測するのが簡単になります――CISOの成功事例]
3。 リスク管理データをリスク登録簿に一元化する
特定されたリスクに関するこの情報を収集し、表にまとめた後は、リスクおよびリスク対策に関する情報を一元的に管理する「リスク登録簿」に保存する必要があります。
リスク登録簿は、組織に対する潜在的な脅威の包括的な概要を示し、いかなるリスクも見落とされることなく、それぞれが体系的に評価されることを保証します。 この一元化により、各部門や関係者間のコミュニケーションと連携が強化され、リスクの監視や報告が容易になります。 正確かつ最新の情報を提供することで、情報に基づいた意思決定を支援し、最も重大な脅威に基づいてリスク管理の取り組みの優先順位付けを行うのに役立ちます。
リスク登録簿は、リスクとその管理に関する記録を保持するものであり、これは規制の枠組みにおいてしばしば求められているため、規制遵守を確保するのに役立ちます。 リスク登録簿は、過去の記録としても機能し、傾向分析や過去の経験からの学びを通じて、将来のリスク管理の実践を改善するのに役立ちます。
すべてのリスクを明確に把握することで、組織はリソースをより効果的に配分し、優先度の高いリスクに対して、その軽減に必要な注意とリソースが確実に割かれるようにすることができます。
リスク管理データをリスク登録簿に一元化することで、より効果的なリスク軽減策が講じられ、リスク管理戦略全体がより強固なものとなります。 組織全体の権限を持つ関係者は、日々の業務の指針とするために、リスク登録簿にアクセスし、活用できる必要があります。
4。 各リスクに対する対策を策定する
このステップでは、不確実性を低減し、意思決定の質を向上させる明確なロードマップを示すことで、リスクを軽減または排除するための対策を講じます。 これには、潜在的な問題を先読みし、リスクの重大度や発生可能性に基づいて優先順位付けを行うことを支援する、先を見越した管理を促進することで、各リスクを一貫的かつ体系的に管理するための戦略、行動計画、および構造化されたアプローチを策定することが含まれます。これにより、リソースのより効率的な配分が可能となります。 この予防的な取り組みにより、リスクの影響を大幅に軽減し、リスクが大きな問題へと発展するのを防ぐことができます。
リスク戦略を採用することで、個人やチームに具体的な行動を割り当てることにより、責任の所在を明確にすることもできます。 これにより、リスク管理業務の責任の所在が明確になり、リスクが適切に管理されていることを確認することで、進捗状況の把握に役立ちます。 これは、迅速かつ効果的な対応が求められる重大な局面において、特に重要です。 組織は、明確な戦略を策定し、先を見越した管理姿勢を推進することで、潜在的な問題を予測し、予防措置を講じることができます。
[関連記事：シャドウITは「制御不能」――そのリスクを管理する方法とは]
さらに、組織が自らの経験から学び、戦略を洗練させ、組織にとって最も関連性が高く、潜在的に甚大な損害をもたらすリスクに対処する上で長期的な成功を支える、より強靭なリスク管理フレームワークを構築することで、脅威を効果的に軽減し、継続的な改善を促進します。
5。 長期にわたるリスクと結果のモニタリング
最後のステップは、リスク環境を十分に把握し、特定されたリスクが効果的に管理され、新たなリスクがあれば速やかに特定・管理されるよう、リスク管理戦略の有効性を含め、リスクを継続的に監視・見直すことです。
リスクを定期的に監視している組織は、リスクやコンプライアンスが時間の経過とともにどのように減少または増加しているかを示す直線グラフを作成することができます。このグラフは、その他のリスク管理活動を行うチームや、進捗状況を追跡し、変化に伴いさまざまなレベルでのリスクの影響や、リスク管理コストに影響を与えるその他の要因を把握したいと考える経営幹部にとって、極めて重要なデータとなります。
こうしたモニタリング活動には、実施された統制や戦略の追跡、組織への影響の分析、および残存リスクの把握も含める必要があります。 リスクおよびリスク管理戦略の影響を継続的に監視することで、組織は潜在的な脅威をより早期に発見しやすくなります。 これにより、問題が深刻化する前にタイムリーな是正措置を講じることが可能となり、リアルタイムのデータを活用して意思決定を行い、規制への準拠を確保し、法的制裁を回避することができます。
リスク管理プロセスのこれら5つの重要な構成要素を用いた実践的な例を検証し、一般的なEコマース企業がこれらのステップをどのように進め、直面しうる一般的なリスクにどのように対処するかを見ていくとともに、これらの原則が実際の現場でどのように適用されるかを実例を通じて示しましょう。
リスク管理プロセスの例
世界中にオンラインでの事業展開を持ち、世界各地で配送およびフルフィルメント業務を行っているEコマース企業を想像してみてください。 この5つのステップに沿って、リスク管理のプロセスがどのようなものになるか、順を追って見ていきましょう。
1. 特定する
ステップ1でリスクを特定する際、Eコマース企業は、自社のウェブサイトおよびそのウェブサイトを支えるITインフラを極めて重要であると見なし、自社が直面しうるリスクの一つとして捉える可能性があります。
そのウェブサイトにおけるリスクの例としては、サイバー攻撃、ソフトウェアのバグ、データセンターの停止、設定や運用管理における人的ミスなどが挙げられます。
2。 優先順位付け
その後、そのEコマース企業は、各リスクが発生する確率と、それらのリスクが事業にどのような影響を及ぼす可能性があるかを評価する必要があります。
例えば、Eコマース企業は、サイバー攻撃によってサービス停止が発生する可能性を評価する必要があります。というのも、ウェブサイトが数日間利用できなくなると、組織の事業にとって壊滅的な打撃となるからです。 また、同社は、ウェブサイトを保護するためにサイバーセキュリティのベストプラクティスに従っているかどうかも検討すべきです。 もしそうであれば、その結果が生じる全体的なリスクは低減したことになるため、次のステップでは優先順位を下げることができます。
3。 一元化
このEコマース企業は、あらゆるリスクを把握しているため、統合されたリスクデータを確認することで、どのリスクが最も発生しやすく、かつ最も甚大な被害をもたらすかをより容易に特定できるようになり、それに応じて優先順位を付けることが可能になりました。
例えば、データセンターで障害が発生したためにウェブサイトが利用できなくなるリスクについては、どうでしょうか？ 仮に、その企業が、別のデータセンターやサービスプロバイダーへ業務を移行するためのフェイルオーバーアーキテクチャを備えているとしましょう。 その場合、そのリスクも軽減される可能性があります。 しかし、もし同社がフェイルオーバー体制を整備していない場合、そのような障害が発生するリスクは依然として高く、リスク管理戦略において優先的に取り組むべき課題となります。
4。 戦略を立てる
このEコマース企業は、既存のリスクや潜在的なリスクについて十分な理解を持っており、その優先順位付けは自社の目標に沿ったものとなっています。 関係するステークホルダーは、特定された各リスクに合わせて、具体的な戦略を策定し、実施に取り組むことができます。
データセンターの停止に対応するため、このEC企業は、停電時にも業務を継続できるよう、予備発電機や無停電電源装置（UPS）などの冗長化システムの導入を検討することができます。 障害発生時にネットワークトラフィックやワークロードを自動的に移行させるソフトウェアなど、高度な耐障害性ソリューションも有効な対策となります。また、実際のインシデントに備え、従業員がそのような状況に対処できるよう訓練するため、データセンターの障害を想定した定期的なテストや訓練を実施することも重要です。 問題が深刻化する前に潜在的な問題を検知するための監視およびアラートシステムを導入することも、サービス停止を防ぐことにつながります。
これらの戦略を採用することで、同社はデータセンターの停止リスクを効果的に管理し、事業継続を確保することができます。
5。 監視する
最後に、Eコマース企業は、リスクや結果を継続的に監視し、新たなリスクや変化し続けるリスクに対して常に警戒を怠らず、迅速に対応できるようにしなければなりません。 リスク管理戦略の有効性を定期的に見直すことで、企業はその取り組みにおける不備や弱点を特定することができます。 これにより、企業は必要な調整や改善を行うことができ、リスク軽減策が引き続き効果的かつ適切であることを確保できます。
成果をモニタリングすることで、企業は成功や失敗といった過去の経験から学び、その教訓を将来のリスク管理活動に活かすことができるほか、組織内に積極的なリスク管理文化を醸成することができます。
この積極的な取り組みにより、当社の回復力が強化されるとともに、顧客、ステークホルダー、パートナーとの信頼関係が築かれます。これにより、彼らは当社が安全かつ信頼性の高い事業運営を維持することに尽力していると確信することができます。
一般的なEコマース企業を例に、リスク管理プロセスの実例と、その企業が直面しうるさまざまな課題を検討した後、一般的なリスク管理手法の種類に焦点を移すことができます。 こうした手法には、リスクの受容、緩和、低減、移転などが含まれ、それぞれが潜在的なリスクに対処するための独自の戦略を提供しています。 これらのアプローチについて詳しく見ていき、さまざまな状況でどのように効果的に活用できるかを理解しましょう。
リスク管理の対応策の種類
組織は、リスク管理の実践を通じて特定されたリスクに対応するために、さまざまな選択肢があります。 これらの選択肢には、次のようなものがあります：
- リスク受容（ ）とは、組織がリスク低減や緩和策に投資することなく、そのリスクを受け入れることを決定する場合を指します。 場合によっては、組織は、リスクの影響が小さい、発生する確率が極めて低い、あるいはその両方の理由から、そのリスクが許容可能であると判断することがあります。
ある小売企業が、自社の店舗の決済システムに潜在的なリスクを特定したものの、この脆弱性を排除するためにシステムを全面的に刷新するコストが非常に高く、かつ悪用される可能性が低いと判断した場合を考えてみましょう。
このシナリオでは、同社は、潜在的な影響は管理可能であり、悪用される可能性も十分に低いため、費用のかかる軽減策に投資しないことを正当化できると判断するかもしれません。 その代わりに、同組織は、セキュリティインフラの他の側面の強化にリソースを集中させるかもしれません。 - リスク軽減 とは、組織がしばしば直面するプロジェクト目標への脅威を軽減するための計画立案および戦略策定を指します。
ある企業が、データ漏洩はある程度は避けられないものと判断したと仮定しましょう。 その場合、 のゼロトラストアーキテクチャ（ ）を導入し、攻撃者が侵害されたデバイスから別のデバイスへと移動する能力を制限することを決定するかもしれません。
データ漏洩の全体的なリスクは変わらないかもしれませんが、攻撃者が緩いユーザー権限や開かれたネットワークポートを利用してネットワーク内を自由に移動できなくなるため、その結果生じうる被害は軽減されるでしょう。 - リスク低減（ ）とは、リスクを伴う結果が発生する可能性やその深刻度を軽減するために、ツール、人材、またはプロセスに投資することを指します。
例えば、組織がデータ漏洩のリスクを低減したい場合、エンドポイント（デスクトップやノートパソコンなど）に最新のセキュリティ更新プログラムがすべてインストールされていることを確実にするために、エンドポイント管理ソリューションに投資することができます。 - リスク移転（ ）とは、のようなサイバー保険会社 や、その他の種類のビジネスパートナーといった別の組織に、リスクの負担を転嫁することを指します。
例えば、経営幹部は、ランサムウェア攻撃によるリスクの一部をカバーするために、そのような攻撃からの復旧にかかる費用の大部分または全額を補償することを約束する保険会社に、保険によるリスク移転契約を締結する場合があります。
保険証券を発行する前に、保険会社は、その組織に対し、厳格なセキュリティ対策の実施や、データセキュリティ対策に関連するSOC 2などのサイバーセキュリティフレームワーク へのITコンプライアンスの証明の提示を求める場合があります。 いずれの場合も、その組織は保険料を支払うことで、リスクの一部を他の当事者に移転させたことになります。
さまざまなリスク管理手法について検討したところで、次は組織が採用している一般的なリスク戦略について見ていきましょう。 これらの戦略には、リスク管理フレームワークの導入、第三者によるリスク評価の実施（ ）、、緊急時対応計画の策定、および根本原因分析の実施などが含まれます。 これらの戦略が、組織内でリスクを効果的に管理・軽減するためにどのように活用されているのか、見ていきましょう。
組織で一般的に用いられているリスク管理戦略にはどのようなものがありますか？
上記のリスク管理プロセス以外にも、組織がコンプライアンスを遵守し、損失のリスクを低減するために、どのような戦略を採用できるでしょうか？ 効率的な管理プロセスに従うことに加え、検討すべき一般的なリスク対策として、以下のようなものがあります。
リスク管理の枠組み
既存のリスク管理フレームワークを採用することで、リスク分析やリスク軽減、およびリスク管理やコンプライアンス管理のワークフローにおけるその他の手順について、体系的な枠組みやベストプラクティスを提供し、役立ちます。
広く利用されているリスク管理フレームワークには、次のようなものがあります：
- 「スポンサー組織委員会（COSO）」の『企業リスク管理』：COSOの企業リスク管理に関するガイダンスは最近改訂され、戦略策定プロセスにおいてリスクを考慮すること、および業績向上を推進することの重要性が強調されました。
- 情報リスクの因子分析（FAIR™）：情報セキュリティおよびオペレーショナル・リスクに関する国際標準の定量モデル
- ISO 31000『』：ISOのリスクマネジメントに関する指針には、規模、活動内容、業種を問わず、あらゆる組織が活用できるリスクマネジメントの原則、枠組み、およびプロセスが盛り込まれています。
米国国立標準技術研究所（NIST）のリスク管理フレームワーク（RMF）
: あらゆる組織が、組織やシステムの情報セキュリティおよびプライバシーリスクを管理するために活用できる、包括的かつ柔軟で、再現性があり、測定可能な7段階のプロセスであり、NISTの規格やガイドラインのセットと連携することで、以下の要件を満たすリスク管理プログラムの実施を支援するものです。
連邦情報セキュリティ近代化法（FISMA）
[関連記事：サイバーセキュリティ・フレームワークとは何ですか？ 【概要】
サードパーティのリスク評価
リスクは、内部のリソースや業務、およびサプライヤー、コンサルティング会社、その他の提携先を含む、組織のパートナーのリソースや業務から生じる可能性があります。 サイバーセキュリティにおいて、サードパーティ・リスクは特に重要です。
サードパーティを評価・管理するためのツールやプロセスを導入することで、この種のリスクを軽減することができます。
緊急時対応計画
時には、嫌なことが起こることもあります。 そうなったときは、あらかじめ準備をしておくのが一番です。 チームが緊急事態への対応方法を把握していれば、混乱や当て推量をなくし、より迅速かつ効果的に対応することができます。
緊急時対応計画とは、サイバー攻撃、大規模なITシステム障害、地震や大規模な暴風雨などの自然災害、およびその他の甚大な被害をもたらす可能性のある攻撃など、緊急事態に備えた計画のことです。 こうした緊急事態に備えた計画を策定し、対応策を訓練しておくことで、組織は、実際に緊急事態が発生した際に生じうる被害を軽減することができます。
根本原因分析
重大なリスクや軽微なリスクが発生した際には、部門横断的なステークホルダーチームを結成し、何が起こったのか、その原因を把握し、事象の根本原因を突き止めることが有効です。
根本原因を特定する際には、通常、以下の点について検討し、結論を出す必要があります：
- 従業員の研修が不十分であることに伴う問題とは何でしょうか？ その場合は、新しい研修モジュールへの投資が適切かもしれません。
- この問題は、データ漏洩に関連していたのでしょうか？ もしそうであれば、ネットワークのどの部分で発生したのでしょうか？ 犯人は、どれくらいの間、気づかれることなくその場に居続けたのでしょうか
- システムは最新の状態であり、適切に設定されていましたか？
- DevOps、IT、セキュリティチームといったすべての関係者は、攻撃の発生源や性質を特定する際に、効果的に連携するために必要な一元的な可視性とリアルタイムのエンドポイントデータを入手できているでしょうか？
- その組織は、所有するすべてのエンドポイントデバイスにアクセスできますか？
問題の根本原因を分析し、ITインフラや従業員の研修などの分野における弱点を特定することで、組織は同様の事象が再発し、戦略的目標を脅かすリスクを軽減することができます。
リスク管理の重要な戦略についていくつかご紹介しましたので、ここでは従来のリスク管理アプローチとエンタープライズ・リスク管理のアプローチを比較し、それぞれがこうした取り組みにどのように寄与し、あるいは妨げとなるかを検討してみましょう。
従来のリスク管理とエンタープライズ・リスク管理
従来のリスク管理の枠組みでは、リスクの管理責任は通常、そのリスクが存在する各部門を統括する経営幹部に課せられます。 組織によっては、リスク管理は、チーフ・コンプライアンス・オフィサー（CCO）、最高執行責任者（COO）、最高監査責任者（CAO）、最高財務責任者（CFO）、あるいはその他のCレベル幹部が担当する場合があります。 例えば、最高情報責任者（CIO）や最高技術責任者（CTO）はIT関連のリスクを、最高財務責任者（CFO）は財務リスクを、最高執行責任者（COO）は業務リスクをそれぞれ担当します。
リスク管理担当者も、従来のリスク管理において極めて重要な役割を果たしています。 彼らは、事故や自然災害などの事象が発生する可能性を評価し、特にIT、財務、または業務部門などにおいて、各部門に関連するリスクを軽減するための戦略を策定することで、組織の目標や業務を潜在的な危害や影響から守ります。
しかし、これらの役割は単独では機能しません。 彼らの成功は、各事業部門のマネージャー、DevOpsリーダー、サイバーセキュリティチームのリーダーなど、組織内の他のステークホルダーとの情報共有や連携にかかっています。
各部門や の事業部門 は、それぞれの固有のリスクに対処するための高度なシステムを備えているかもしれませんが、組織としては、異なるリスク間の相互関係や、それらが業務全体に及ぼす複合的な影響を認識できていない場合、課題に直面する可能性があります。
各部門内のリスク管理における従来のリスク管理手法の欠点を解消するため、 のエンタープライズ・リスク管理が、 1990s において、包括的なアプローチとして登場しました。 いくつかの注目すべき失敗や、防ぐことができたはずの巨額の損失、そして戦略策定における株主価値モデルの役割の拡大が、このアプローチを後押ししました。 ERMについて、そして現代のリスクへの対応におけるその課題について、さらに詳しく見ていきましょう。
エンタープライズ・リスク・マネジメントとは何でしょうか？ これは従来のリスク管理よりも優れているのでしょうか？
従来のリスク管理プログラムが、リスクが発生した時点で対処するというより受動的なアプローチをとっているのに対し、ERMはリスク管理を組織の意思決定プロセスのあらゆる側面に統合し、リスクが発生する前に組織全体にわたってリスクを特定、評価、管理することを目指しています。 この先を見越した取り組みにより、組織はリスクが深刻な脅威となる前に、それを予測し、軽減することができます。
しかし、ERMは現在もなお、いくつかの課題に直面しています。 コミュニケーションの不足、不十分な研修、そして継続的な改善の欠如は、ERMプログラムの有効性を著しく阻害する可能性があります。
また、多くの組織では、ERMを支えるために必要なリスク意識の高い文化の醸成に苦慮しており、その原因は、十分なリソースが割り当てられていないことや、ERMが組織の戦略に十分に統合されていないことにある場合があります。
また、ERMフレームワークの複雑さは圧倒的であり、その結果、組織がリスク管理に対して依然として事後対応的なアプローチを続けることを選択し、取り組みが断片化してしまうことがよくあります。
リスク管理プログラムが不十分だった場合、どのような事態になるのか、考えたことはありますか？ 世界でも最も成功を収め、テクノロジーに精通した組織のいくつかに課された、最近の巨額の規制当局による罰金や法的和解について、以下をご検討ください：
- In 2024, Ireland's Data Protection Commission (DPC) fined Meta Platform Ireland Limited ("Meta Ireland") €91 million ($95.7 million) for violating the General Data Protection Regulation (GDPR) by storing user passwords without encryption.
The DPC noted, "This decision highlights the requirement for data controllers to implement appropriate security measures when processing personal data, taking into account factors such as the risks to service users and the nature of the data process." - In 2024, the Dutch Supervisory Authority (SA) fined Uber €290 million ($305 million) for improperly transferring the private data of 170 French drivers to the U.S. in violation of GDPR, which imposes strict rules for the retention and transfer of personal data.
- In 2023, DPC fined Meta a total of €390 million ($410 million) for breaching the GDPR "in connection with the delivery of its Facebook and Instagram services." Meta Ireland was fined €210 million ($225 million) for violations related to Facebook and €180 million ($193 million) for violations related to Instagram.
- In 2022, mobile communications giant T-Mobile agreed to pay a settlement of $500 million following a data breach that occurred in early 2021 and affected nearly 77 million customers. The incident involved unauthorized access to T-Mobile's systems after a portion of customer data was discovered listed for sale on a known cybercriminal forum.
The company settled a consolidated class action lawsuit, agreeing to pay an aggregate of $350 million to fund class members' claims, the legal fees of plaintiffs' counsel, and the costs of administering the settlement. The company also promised to spend $150 million on data security and related technology in 2022 and 2023.
こうした罰金や法的和解事例が示すように、組織は今後もコンプライアンス管理を優先し、すべての人材、ツール、プロセスが経営陣のサイバーセキュリティおよびコンプライアンスの目標を確実に支えるよう、さらなる取り組みを行う必要があります。
幸いなことに、リスク対策ソリューションは、AIの機能やクラウドアーキテクチャの拡張性と柔軟性を活用することで、より包括的かつ自律的なものへと進化しており、現代の企業のセキュリティ確保と管理という厳しい要件に対応できるようになっています。
ERMとは何か、また従来のリスク管理とどのように異なるのかについて明確に理解できたところで、その変遷について考察していきましょう。 次のセクションでは、次世代のリスクおよびコンプライアンス管理の複雑性に対処するために、ERMがどのように適応してきたかを概説し、現在の実践を形作ってきた進歩や革新に焦点を当てます。
次世代のリスクおよびコンプライアンス管理に向けたERMの進化
リスクとは、究極的には活動そのものに関わるものです。 これは、物事がいつも通り進んでいるように見えても、ある時点でそうではなくなるという内容です。
リスクおよびコンプライアンス対策において、AIと の機械学習 を統合することで、組織は大規模かつリアルタイムで、何が「正常」で、何が「異常」で、何が「明らかに危険」であるかを迅速に判断できるようになります。 これらの技術を活用することで、リスク分析、異常検知、脅威検知、レポート作成、およびリスク是正を、驚異的なスピードと精度で実行することができ、ビジネスおよびITの責任者の方々に、運用状況、リスク、そして考えられる解決策について、これまでにないほど詳細な情報を提供します。
機械学習とAIを組み合わせることで、次のようなことが可能になります：
- データの分析： ログイン履歴からサプライヤーへの請求額に至るまで、AIと機械学習を活用することで、業務をきめ細かく分析するための、迅速かつ拡張性の高いアプローチが可能になります。 これにより、経営陣やIT部門の責任者は、リスク管理やコンプライアンス管理の手法を微調整するためのデータを得ることができます。
- パターンの検出： データ内のパターンを認識することで、組織は、データ漏洩など脅威となり得る異常について、人によるものであれ機械によるものであれ、行動の基準線を確立することができます。
例えば、御社の経理チームが通常は平日の営業時間内に業務を行い、週末にログインすることはほとんどない場合、経理担当者に割り当てられたノートパソコンやその他のエンドポイントが、 3:00 から遠隔地でネットワークにアクセスしていることを検知することで、アラートを発動させ、是正措置を講じることができます。 - Power Automation： Smart セキュリティ自動化 は、さまざまなソースから収集・保存されたデータに基づくレポートや要約の作成から、 パッチ管理、リアルタイムの脅威検知および対応の自動化に至るまで、エンドポイント管理の未来を牽引しています。
AIと機械学習は、より効果的かつ迅速なプロセスを通じてリスク管理やコンプライアンスへの取り組み方に革新をもたらすことで、組織がサイバーセキュリティ上の脅威や規制要件という、ますます増大する課題に自信と機敏さを持って対処できるよう支援するものです。
Tanium Risk & Compliance は、エンドポイントに対するリアルタイムの可視性、エクスプロイトに対する継続的な監視、および脆弱性に対処し、資産を正常な状態に戻すための包括的なツールスイートを、すべて自動化された Tanium プラットフォーム内で組織に提供します。
Tanium を利用することで、組織は、エンドポイントのリスクやコンプライアンス違反のインシデントに対する完全な可視性と、チームがこれらのリスクを是正するために必要なコンテキストを提供することにより、リスクとコンプライアンスを管理するために拡張可能な統合プラットフォームの恩恵を受けることができます。 また、Tanium を利用することで、セキュリティチームや運用チームは、ばらばらなポイントソリューションを単一のエージェントおよびソリューションに統合することができます。
Tanium Autonomous Endpoint Management (AEM) は、 の高度な AI および機械学習機能を導入した、Tanium プラットフォームの新たな進化形です。 これには、エンドポイント上のごくわずかな変化さえも分析・測定し、その影響を確実に評価できる「リアルタイムのクラウドインテリジェンス」、さまざまなITおよびセキュリティ運用のユースケースを網羅した動的で再利用可能な自動化を構築・設計する「自動化とオーケストレーション」、そしてエンドポイントの変更を組織のペースに合わせて展開することで業務への影響を最小限に抑える「展開テンプレートとリング」が含まれます。
から個別デモをご予約いただき、Taniumがリスクおよびコンプライアンス管理、その他の重要なセキュリティ対策にどのように貢献できるかをご確認ください。
