サマリ
2部構成シリーズの第2回では、今日のデジタルトラスト環境の実態と、企業リーダーがセキュリティ侵害をより強固な顧客エンゲージメントの機会に転換する方法を探ります。
ビジネスリーダーとITプロフェッショナルを対象としたグローバル調査が明らかにするように、サイバー攻撃だけでは必ずしもデジタルトラストが損なわれるわけではありません。 しかし、経営幹部がその事態にどう対応するかが問題となる場合があります。 情報システム監査・制御協会（ISACA）の専門家とともに、倫理の難しい問題（そして、意外にも—あるいはそれほど意外でもないかもしれませんが—サイバーセキュリティに関連するその他の懸念事項）を深く掘り下げます。
ホスト： メリッサ・ビショッピング、エンドポイントセキュリティリサーチディレクター、Tanium
ゲスト：デビッド・サミュエルソン、[元] CEO、ISACA；およびクリス・K・ディミトリアディス、チーフグローバルストラテジーオフィサー、ISACA
制作注記：この録音の時点では、サミュエルソンはISACAのCEOを務めていました。 その後、彼は組織を離れました。 トレイシー・デドリックは現在、ISACAの暫定CEOです。
ショーノート
ISACAのデジタルトラストに関する調査とリソース、およびTaniumの新しいオンラインサイバーニュースマガジンFocal Pointのこれらの記事をご覧ください。
- ISACAのデジタルトラストの現状2022レポート
- ISACAデジタルトラストリソース
- テクノロジーセクターがTikTokから学べること：信頼がすべて
- 「プライバシー・バイ・デザイン」のように、デジタルトラストの構築はデータセキュリティの優先から始まる
- サイバーセキュリティ危機時における明確（かつ合法的）なコミュニケーション方法
トランスクリプト
以下のインタビューは、明確さのために編集されています。
デビッド・サミュエルソン： 私たちはデジタルトラストについて話していますが、その中で重要なのは「トラスト（信頼）」という言葉です。 信頼とは関係性です。 そして関係性においては、正直に打ち明け、お互いに誠実であろうとするものです。 そして、それは顧客関係においても同様だと思います。[/pullQuote]
メリッサ・ビショッピング： こんにちは、メリッサ・ビショッピングです。本日のLet's Convergeでは、デジタルトラストについてお話しします。 信頼に関する新しいグローバル調査で明らかになった驚くべき発見を取り上げる、2部構成シリーズの第2回へようこそ。
以下の数字をご覧ください：世界中でアンケートに回答した2,700人以上のビジネスおよびITプロフェッショナルのうち、半数以上（54%）が自社のデジタル信頼性に対して非常に、またはまったく自信があると回答しましたが、実際に顧客間のデジタルトラストを測定しているのは4分の1にすぎませんでした。 さらに36%はまったく測定しておらず、41%は不明と回答しました。
本日のゲストは、ITガバナンスに特化した国際的な専門家協会ISACAのCEO、デビッド・サミュエルソン氏です。 そして、同協会のチーフグローバルストラテジーオフィサー、クリス・ディミトリアディス氏です。 ISACAの「デジタルトラストの現状」2022 調査について議論してきました。
前回のエピソードでは、デジタルトラストとはブランドへの信頼だけでなく、そのブランドとのオンライン取引における信頼でもあることについて話しました。 ISACAのレポートから、一貫性を含む重要なポイントを取り上げました。 すべての取引において、毎日信頼を築いていく必要があります。 しかし、特に印象的だったのは、デジタルトラストが思っている以上に多くの領域に依存しているということです。 私たちは通常、信頼をサイバーセキュリティと結びつけます——企業がデジタル資産と顧客データを保護し、顧客が守られていると感じるというものです。 しかし、品質、プライバシー、倫理といった他のパラメーターも信頼に影響します。
さて、David、倫理についてあなたがおっしゃったこと、そしてそれがビジネスにとって何を意味するかについて、改めて話しましょう。 レポートによると、アメリカ人の半数強がテクノロジー企業が正しいことをすると信頼しており、これは2019—から約19%低下しています。
Samuelson: それは驚くべきことです。 つまり、それは本当に驚くべきことですよね。
Bischoping: ええ、それは大きな変化ですね！ どんな調査においても、20%の変化というのは重要です。 では、その信頼の低下の原因は何だと思いますか？ これは脅威の状況に関係することでしょうか？ これはテレワークやCOVIDの変化に関連していますか、それとも他の何かでしょうか？
Samuelson: そうですね、そしてさらに多くのことが関係しています。 技術変化のペースは、これまでも、そしてこれからも非常に速いものであり続けるでしょう。 すぐそこにはAIが迫っており、私たちが倫理や管理について慎重に考えなければならない活動を引き継ごうとしています。 そして量子技術もすぐそこに迫っており、ブロックチェーンのような新技術の活用も進んでいます。
これらすべてのことが、私たちに、すべての人に、猛スピードで押し寄せています。 ですから、ニューヨークのボデガでさえインターネットに接続され、クラウド上にあり、テクノロジーがもたらす脆弱性とポジティブな可能性に何らかの形でつながっています。
ですから、信頼の低下が見られるのは、より多くのことが起きているからだと思います…[彼は少し間を置く。]
ご存知のように、私はクラウドに接続された時計を持っていて、スマートフォンも接続されていて、私が考えていないことがたくさんありますが、考え始めたことも多く、それが私たちの意識の中でより大きな存在になっていると思います。 脆弱性をより深く理解するにつれ、大規模な情報漏洩が発生し、プライバシー—人々のPII（個人識別情報）—が侵害されるといったことが起きているのを目にします。 ですから、より広い公衆の認識が高まると同時に、テクノロジーの環境も広がっており、それらがこのすべてを加速させています。 クリス、何か付け加えることはありますか？
クリス・ディミトリアディス： 複雑性もあります。 より大きく、より複雑なデジタルエコシステムが構築されているのを目にしていると思います。 そして、複雑性と規模の拡大に伴い、脅威も生まれ、さらに深刻になります。なぜなら、デジタル技術が生み出す価値やデータと情報から生まれる価値は、デジタルエコシステムの利害関係者にとって価値があり重要なだけでなく、敵対者にとっても同様だからです。
サミュエルソン： そして、テクノロジーはソーシャルメディアを通じてコミュニケーションが伝わる速度を強化しました。 小さなことでも、かなり素早く世界中に広まってしまい、対応するのが難しいのです。 そして、それがこの信頼度バロメーターにかなり強く影響している要因だと思います。 今の私たちは、ビジネスのやり方において、世界でどれほど信頼されているのでしょうか？
私がバンキングを始めた頃のことを思い出します。ウェブブラウザに入力しているこの情報、URLの小さな鍵マーク、あれは本当に強固な鍵なのだろうかと、信頼できるものなのかと思っていました。 信頼できるのだろうかと。
しかし、人々がそれを受け入れる意志を持っていたため、銀行業界全体がかなり急速に変わりました。 そして、こうした情報漏洩が起き始め、人々が少し引いてしまうこともありました。 ですから、私たちが話していたことすべてが関係していると思います。
ビショッピング： それは実に完璧に、私の次の質問につながりますね。 ビジネスとしてコントロールできない、より多くの脅威アクター、多くのランサムウェア・アズ・ア・サービスギャング、これらすべてのものが見られます。 できることは、防御し、侵害された場合に検知して対応を試みることだけです。
では、組織が侵害された場合、それはすぐに、デジタルトラストにおける取り組みを無効にするのでしょうか？ 侵害と対応の期間を乗り越え、顧客との信頼を築き続けるにはどうすればよいのでしょうか？
サミュエルソン： そうですね、透明性がここでの重要なキーワードです。誠実かつ倫理的な方法で認め、対応し、取り組んでいることを示し、正しいことを行えば、たとえ起きてしまったことを常に防げなくても、少なくとも評判は守られます。
しかし、デジタルトラストを持たない企業にとっての影響は、これらの多くのことを実際に引き起こすと思います。 意思決定においてデータへの依存度が低くなります。 顧客を失っています。 インシデントが増えています。 そして、透明性と誠実さが信頼を築く方法だと思います。何が起きているかについて率直であり、信頼できるフレームワークを整備していることを共有し、侵害があったとしても、しっかりと取り組んだことを示すことが重要です。
それについて学ぶべきことはたくさんあります。 私たちの誰もが正しい答えを持っているとは思いませんが、それがその一部だと思います。 クリス、あなたはどう思いますか？
Dimitriadis: 透明性についておっしゃる通りだと思います。なぜなら、結局のところ、侵害やインシデントは想定されるべきものだからです。
デジタルトラストについて議論する際、それは予防が100%有効であること、またはステークホルダーの期待通りに機能することを意味するわけではありません。 これは複雑さだけでなく、攻撃の巧妙さによるものでもあります。
私は、[企業は]侵害が[将来のある時点で]発生すると想定し、Davidが言ったように透明性をもってデジタルトラストを確立するために[それに]対処しようとすべきだと思います。また、デジタルトラストが組織へのコミットメントであることを実践的に証明するために、適切な検出・対応・復旧のプロセスとメカニズムを通じて取り組むべきだと思います。
Bischoping: クリス、まさに私が言おうとしていたことを言ってくれました。 私たちは非常に似た考え方を持っていると思います。
私はよく、企業が侵害を受けたから、または攻撃があったからといって、必ずしもその企業への信頼を失うわけではないと人々に伝えています。特に、私たちがこれほど繋がっており、あらゆるビジネスが何らかの形でデジタル化されている現代においてはなおさらです。 企業が問題を隠蔽しようとしたり、状況を改善するために何をしているかを率直に伝えなかったり、顧客に対応しなかったり、これが確かに顧客基盤に影響を与えるという共感を示さない場合、私はその企業への信頼を失います。 これは人々の生計に影響を与える可能性があります。 それは重要なことだと思います。
サミュエルソン：そうですね、非常に重要です。 私たちはデジタルトラストについて話していますが、「トラスト（信頼）」という言葉がその核心です。 信頼とは関係性です。 そして関係性においては、正直に打ち明け、お互いに誠実であろうとするものです。 それは顧客との関係においても同様だと思います。
ビショッピング：調査の話に少し戻りましょう。 調査の中で、本当に驚いたり予想外だったりしたことはありましたか？ アメリカにおける人々の信頼に対する認識の大きな変化についてはすでに話しましたが、他に何かありましたか？
Dimitriadis: 調査から驚いた点の一つは、デジタルトラストのターゲットや最終目標の理解における成熟度の欠如です。 これは、世界中のデジタルトラストコミュニティにとって非常に重要な第一歩です。 人々が非常に熱心に学ぼうとしているのは、デジタルトラストの実装方法です。なぜなら、デジタルトラストはまだ確立されていないからです。
これは非常にポジティブな結果です。人々はデジタルトラストの重要性を認識しており、物事を前進させるために世界中にメッセージを伝えることに積極的です。
Bischoping: つまり、認識が不足しているわけでも、消極的なわけでもないということですね。 デジタルトラストという概念がより広く普及するにつれて、本当に不足しているのはフレームワーク、ツール、そして理解なのです。
Samuelson: 付け加えたいのですが、これは驚きというよりも、私たちが協力し合い、共に取り組む必要があること、そしてこれがビジネスの問題であるという確認です。 たとえサイバーセキュリティの専門家が社内にいたとしても、それはその専門家だけの領域ではありません。 多くの企業にはそのような専門家がいません。 私たちは、新しいコマースの時代、新しいビジネスの時代にいることを理解するために協力しており、それはデジタルな時代であり、多くの人々にとって複雑で新しい状況が続くでしょう。
ですから、私たちは常に学び、常に改善し続けなければなりません。フレームワークや評価といったものが、組織が「今日、私には何ができるか？」を見つけ出す助けになると思います。
どこから始めればよいかわからず、圧倒されているように感じます。 そのような疑問は、新聞を手に取って「これが明日、私たちにも起こるのだろうか」と言う多くの組織が抱えているものだと思います。 そして、私たちが支援する専門家たちは、ISACAが提供すべき支援とは、これらのドメイン全体にわたるベストプラクティスのレベルを構築し、ソリューションをデジタルトラストソリューションに実際に統合することだと伝えています。 それが私たちの焦点となっているところです。
Bischoping: ビジネスにおける関係構築についておっしゃっていたことに、もう一度触れたいと思います。 プレゼンテーションや何かをする機会があるときはほぼ毎回、サイロの解体について話しています。 なぜなら、セキュリティの実務者として、またはコンプライアンスや監査に携わる者として、ビジネスのさまざまな側面に対して可視性を持っているからです。
実際に、それらのビジネスプロセスを担当する人々と会話をして、彼らがどのようにテクノロジーを使用しているか、そして実際の業務がどのようなものかを理解しようとしていますか？ それはあなたが思い描くような信頼構築に役立つのでしょうか？
サミュエルソン： もちろんです。 そして、それはこの調査に反映されています。 人々がこの問題を懸念していることはわかりますが、十分なリーダーシップや協力体制が見られないと感じています。 進展を遂げたいのであれば、同僚と手を取り合って何かを実現することが必要になるでしょう。
どんな組織でも——私はいくつかの組織に所属してきましたが、ここ3年半はISACAにいます——すべての組織は、人々が信頼という概念をどのように理解しているかに基づいて、組織全体に脆弱性を抱えています。 だからこそ、人事部やマーケティング部門、あるいは開発者についても触れたのです。信頼を築きたいのであれば、最初から組み込むべきです。 プライバシー・バイ・デザインを採用し、セキュリティ・バイ・デザインを採用すべきです。 そういった概念は徐々に浸透しつつあります。たとえばDevSecOpsは、最初から信頼を組み込むことができるため、ますます正しいアプローチとして認識されています。
組織がデジタル組織の運営方法を理解するにつれて、こうした手法を取り入れ、協力し合うようになると思います。
ビショッピング： 素晴らしい。 さて、そろそろ時間も終わりに近づいてきましたが、デジタルトラストについて、リスナーの皆さんに知っておいてほしいこと、あるいは組織でこの問題に先手を打つために考え始めるべきことで、まだお聞きしていないことはありますか？
サミュエルソン： クリス、あなたから始めてください。
ディミトリアディス： 一つ申し上げたいのは、私たちは非常に高度なサイバーセキュリティのアプローチや技術、システムを構築してきたにもかかわらず、ほとんどのインシデントは、サイバーセキュリティにおける非常に単純で基本的な見落としによって引き起こされているということです。 そして、Melissaがとても上手く説明され、Davidも説明されたように、このコラボレーションという概念は、サイバーセキュリティにおいて何か異なることを試みるために重要です。
過去に解決できなかった問題を、同じ手段で解決することは実際にはできません。 だからこそ、デジタルトラストは既存の問題に対する代替アプローチを提供するという点で非常に革新的だと私たちは考えています。 少し違った視点で考えること。
そして、ビジネスの観点からも非常に重要です。 また、サイバーセキュリティにおける代替アプローチの必要性が認識されており、世界中で策定されているさまざまな規制によっても認められています。 なぜなら、サイバーセキュリティにおいて専門知識と能力を垂直方向にどれだけ拡張しても、水平方向に広げなければ、問題を解決することはできないからです。
Samuelson: 規制についておっしゃった点を補足しようと思っていました。 先ほど申し上げたように、すべての企業はデジタル企業です。 そして、すべての国が今まさにこのことを考えています。 会話をデジタルトラストの会話に昇華させ、単なるコントロールの会話にとどまらないようにできれば、規制がそのコラボレーションに役立つと思います。
言うは易く行うは難しですが、私たちは多くの時間を費やしています。特にクリスと私は、政府機関と連携し、規制機関と協力して、会話を実際にこのデジタルトラストのレベルに引き上げるために何が必要かを理解しようとしています。 そして、それは非常に大きな影響をもたらし、成功につながると思います。
Bischoping: まったく同感です。 私が情熱を持っていることはありますが、最近まで、関係を構築し、セキュリティの文化をゼロから作り上げるというその考え方を包括する言葉として「デジタルトラスト」という言葉を使っていませんでした。 そして、それは開発段階から始まります。新入社員のオンボーディングから、セキュリティと信頼の文化は、環境のあらゆる部分に浸透し、重要なものとして認識されなければなりません。
私は製造業や石油・ガス業界出身で、安全が最優先であり、安全違反は絶対に許されない、誰かの安全や命を危険にさらすことはできないという環境で育ちました。 そして、信頼とセキュリティがビジネスの継続性にとって安全と同様に不可欠であると話し始めると、人々は本当に理解してくれると思います。 安全が私たちのあらゆる行動に存在していたように、信頼もあなたが取るすべての行動に存在しなければならないと思います。
Samuelson: ええ。 本当に効果があると思います。 そして、会話を適切なレベルに引き上げ、あなたのように実際にその作業を行い、苦労してきた人々にとって非常に重要な、これらの柔らかく、説明されていない事柄のいくつかに対処し始めます。 ですから、うまくお役に立てることを願っています。
私たちのウェブサイトには、デジタルトラストに関する多くのリソースがあり、人々が読むことができます。 そして、今年後半にフレームワークを立ち上げ、成熟度の測定方法を検討し始める際に、デジタルトラストのビジネスをより安全な場所にしようとしているデジタルトラストの専門家の皆さんにとってのリソースになりたいと思っています。
Bischoping: 完璧です。 ショーノートと一緒に投稿できるアドレスなどを取得しておきます。 実は、それが私の次の質問でした。より多くのリソースや情報はどこで入手できるかということで、すぐに答えていただきましたので、ありがとうございます。 クリスとデイビッド、そろそろまとめに入ろうと思いますが、本日はお二人のお時間をいただきありがとうございます。デジタルトラストについての会話を本当に感謝しています。
Samuelson: 私たちもそう思います。 どうぞよろしくお願いします。 ありがとうございます。
ディミトリアディス： 本当に光栄です。 感謝申し上げます この機会をいただきありがとうございます。
ビショッピング： ISACAのCEOであるデイビッド・サミュエルソン氏と、チーフグローバルストラテジーオフィサーのクリス・ディミトリアディス氏とお話ししました。
彼らの2022デジタルトラストに関するグローバル調査 または、Tanium.comにあるTaniumの新しいオンラインサイバーニュースマガジンで、このテーマについてさらに詳しく学ぶことができます。 セキュリティ分野のトップリーダーたちとの対談をさらに聴きたい方は、Apple PodcastsやSpotifyなど、お気に入りのポッドキャストアプリで Let's Converge ぜひチャンネル登録してください。 このエピソードが気に入ったら、ぜひ5つ星評価をお願いします。
お聴きいただきありがとうございました。次回のエピソードでも、サイバーセキュリティに関するさらなる知見をお届けできることを楽しみにしております Let's Converge。
