私はよく、「今日のCISO（最高情報セキュリティ責任者）が直面する最大の課題は何か」と尋ねられる。
この問いを投げかける人の多くは、技術的な答えを期待している。シャドーAI、非人間アイデンティティ、エージェント型AIによる企業変革……。たしかに、今日のCISOが直面する最大の課題は、急速に変化する脅威環境だと考えたくなる。だが私は、その結論は単純化されており、場合によっては誤解を招くものだと考えている。
サイバーセキュリティ業界は長年、問いを立てる方向を誤ってきた。セキュリティ予算、報告ライン、人材不足、人工知能、ランサムウェア、クラウドセキュリティ、そして最近ではポスト量子暗号について議論してきた。毎年、新たな優先課題と売り込みの強いベンダーが現れ、組織は高度化する攻撃者に先んじるための新技術に、総じて数十億ドルを投じている。
それでもなお、大規模な情報漏えいは引き続き大きく報じられている。CISOの在任期間は短いことで知られ、取締役会は測定可能な進展の乏しさに不満を抱き、組織はいまだにインシデントを防ぐのではなく、発生後に対応する状況に置かれている。
だからこそ私は、今日のCISOが直面する最大の課題はサイバーセキュリティそのものではないと考えている。それは、構造、インセンティブ、文化が長期的なサイバーセキュリティの成功にしばしば逆行する組織において、全社的な変革を率いるという課題である。
この違いは重要だ。なぜなら、リーダーが注力すべきポイントを根本的に変えることになるからだ。
真の課題
大規模組織の圧倒的多数は、優れたサイバーセキュリティがどのようなものかをすでに理解している。国際標準、規制フレームワーク、業界のベストプラクティスは何十年も前から存在している。問われるべきことは、何をすべきかであることはまれだ。本当の課題は常に、それをどう実現するか、そして複雑な企業全体にわたって持続的な変化を誰が推進できるかにある。
あまりにも多くの組織が、いまだにサイバーセキュリティを技術領域として扱っている。インシデントが発生すると、支出を増やし、別のセキュリティプラットフォームを購入し、また新たな変革プログラムを立ち上げることが本能的な反応になる。そうした対応が必要な場合もあるが、根本的な問題に対処することはめったにない。
制約要因となるのは、テクノロジーであることは少ない。リーダーシップなのである。
同じ過ちの繰り返し
私は長年、自分が「サイバーセキュリティ失敗のスパイラル」と呼ぶものについて述べてきた。組織は、インシデント、規制当局の調査、または深刻な監査結果によって行動を迫られるまで、サイバー脅威を過小評価する。すると突然、予算が確保され、野心的な取り組みが始まり、期待が高まる。だが、競合する事業上の優先事項が再び前面に出てくると、プロジェクトは断片化し、勢いは失われ、約束された変革は完全には実現しない。そして次のインシデントで、すべてが再び始まる。
共通項は、テクノロジーの不足ではない。組織変革を持続させ、推進する能力の欠如である。だからこそ私は一貫して、サイバーセキュリティを単なるIT機能やコンプライアンス機能ではなく、何よりもまず事業保護の問題として捉えるべきだと主張してきた。サイバーセキュリティは、収益、業務、顧客からの信頼、知的財産、企業の評判を守る。組織が事業を運営し、成長する能力を保護するためのものだ。したがって、テクノロジー部門の枠内に閉じ込めるのではなく、他の戦略的事業優先事項と並べて考えられるべきである。
権限なしにリードすることを期待される
今日のCISOは独特の課題に直面している。組織のセキュリティ態勢を変革することを期待されながら、その目的を達成するために必要なリソースのごく一部しか管理していないのだ。サイバーセキュリティに影響を与える重要な意思決定は、テクノロジーチーム、事業部門、調達、法務、人事、業務部門のリーダーによって日々行われている。CISOがそのいずれかに対して直接的な権限を持つことはほとんどない。
したがって成功は、技術的専門知識よりも、部門横断的なリーダーシップ、影響力、信頼性に大きく左右される。私の経験では、最も有能なCISOは、必ずしも最も深い技術知識を持つ人物ではない。事業部門や地域部門を越えて信頼関係を築き、組織内の政治を乗り越え、競合する優先事項を整合させ、重大なサイバーインシデント後の数週間だけでなく、数年にわたって経営陣の支持を維持できる人物である。
企業の短期志向との闘い
これが今日のCISOにとって難しい主な理由の1つは、経営リーダーが将来の不確実な脅威よりも、目の前の業務上の圧力を自然に優先するからである。ほとんどの経営陣は四半期ごとの業績で評価される。投資家は即時のリターンを期待する。
それに対してサイバーセキュリティは、数カ月後、あるいは数年後まで顕在化しないかもしれない問題を回避するために、組織が今日投資することをしばしば求める。この緊張関係こそが、経営陣の関心が情報漏えい後に高まり、差し迫った危機が過ぎると徐々に他の優先事項へ戻っていく理由である。
残念ながら、サイバーセキュリティ変革は、経営陣の短期的な関心の高まりだけでは達成できない。持続的なコミットメントが必要である。
プロジェクト構築からオペレーティングモデル構築へ
だからこそ私は、組織はサイバーセキュリティプロジェクト、あるいはサイバーセキュリティプログラムという発想を中心に据えるのをやめなければならないと考えている。プロジェクトやプログラムには、始まりがあり、中盤があり、終わりがある。オペレーティングモデルは持続する。
組織のレジリエンスを継続的に高めたいのであれば、日々の事業上の意思決定にサイバーセキュリティを組み込むべきだ。セキュリティを、会社の投資ガバナンス、調達、製品開発、合併・買収、業務レジリエンス、企業戦略の一部にするのである。それを1人の役員の責任として見るのをやめ、企業の運営方法と文化に不可欠な要素として捉えるべきだ。
これは、「セキュリティは全員の責任である」というおなじみのスローガンを推進する話ではない。この言葉は業界で最も使い古された決まり文句の1つになっているが、説明責任を伴わない責任は、すぐに誰の責任でもなくなる。そうではなく、組織内のリーダーがそれぞれの領域における意思決定の責任を負い、CISOが企業全体にわたってリーダーシップ、方向性、独立した監督を提供する状態を確保することを目標にすべきである。
それはコミュニケーションキャンペーンではなく、ガバナンスモデルなのだ。
CISOの最大の課題
結局のところ、今日のCISOが直面する最大の課題は、ますます高度化する攻撃者から防御することではないと私は考えている。攻撃者は、これまでと同じように進化し続ける。CISOにとって決定的な課題は、サイバー攻撃がもはや仮説上の出来事ではなく、現代ビジネスにおける不可避の特徴となった脅威環境に歩調を合わせられるだけの速さで、自組織を変革することである。
技術的な特効薬を探し続ける組織は、事後対応型の投資と繰り返される失望のサイクルにとらわれ続けるリスクがある。しかし、サイバーセキュリティをリーダーシップ上の課題として認識し、長期的な事業変革の目標として取り組むことで、企業はレジリエンスを構築し、企業価値を守り、持続的な競争優位を生み出す態勢をより整えられる。
