2025年9月、数十社の航空会社がチェックインや搭乗の管理に利用しているテクノロジープロバイダーに対するサイバー攻撃が発生し、欧州の空の便の運航が混乱した。ブリュッセル、ロンドン、ベルリンの空港は、デジタルシステムの使用を断念して紙とペンによる運用への逆戻りを余儀なくされ、さらに数千人の乗客の不満や便の遅延への対応にも追われた。
空港も航空会社も、その攻撃の直接的な標的ではなかった。標的となったのは、彼らが共通して利用していたプロバイダーだった。その脆弱性が、最終的には組織や人々のネットワーク全体に影響を及ぼし、業務や企業の評判（レピュテーション）に影響を与える危機を引き起こしたのだ。
この事例は、サイバーリスクがどのように変化したかを示している。今日、サイバーリスクは一組織の枠を超えてシステム全体に波及するもの（システムリスク）となり、プロバイダーやサプライチェーンを通じて急速に拡大する可能性がある。デジタルトランスフォーメーション（DX）、人工知能（AI）の導入加速、そして外部委託先（サードパーティ）への依存により、これらのリスクが及ぶ範囲とそこから生じる影響は拡大している。このような状況において、サイバーセキュリティはもはや単なる技術的な課題ではない。戦略的かつガバナンス上の課題になっているのだ。
チェック・ポイント・リサーチ（Check Point Research）の「サイバーセキュリティレポート2026」によると、企業へのサイバー攻撃は前年比で18％増加した。世界経済フォーラム（WEF）の「グローバル・サイバーセキュリティ・アウトルック2026」では、「回答者の87％が、AI関連の脆弱性を最も急速に拡大しているサイバーリスクとして挙げている」ことが明らかになった。さらに、65％の企業が、サイバーセキュリティのレジリエンス（回復力）を強化する上での「最大の課題は、サードパーティおよびサプライチェーンの脆弱性である」と考えている。
このため、サイバーリスクの管理には、戦略に統合され最高レベルで監督される、部門横断的なアプローチが必要である。それを実現するために、5つの重要な提言を共有したい。
1. サイバーセキュリティの意思決定は戦略的な議論の場で行うべきである
取締役会はサイバーリスクの監督において積極的な役割を果たし、それを戦略的意思決定に組み込み、そうした決定の指針となるリスクアペタイト（許容可能なリスクの範囲）を定義しなければならない。脅威が巧妙化し、テクノロジーへの依存度が高まるなか、事業の中核に「予防」を据える必要がある。しかし、企業はインシデントが依然として発生する可能性があることを認識し、対処と回復の準備をしておかなくてはならない。そのためには、明確な責任所在と定期的な報告を行う専門委員会を通じて、正式な監督体制を構築すべきである。
同様に、取締役会は、自動化の導入や新規プロバイダーの追加を伴うあらゆる取り組みにおいて、最初からサイバーセキュリティへの影響を評価することを求めるべきである。サイバーセキュリティへの投資は、事業継続性、データ保護、そしてステークホルダーの信頼への投資を意味する。
2. 取締役会が監督し、経営陣が管理する
サイバーセキュリティには共同責任が必要だが、その役割は明確に分かれている。取締役会はサイバーリスクを監督する責任があり、CEO率いる経営陣は、それをリソースや行動に落とし込んでサイバーセキュリティを戦略に統合し、管理しなければならない。また、CISO（最高情報セキュリティ責任者）は、重要資産を保護し、企業のレジリエンスを強化するために必要な技術的専門知識を提供する。これらのリスクの影響範囲を考慮すると、その管理は組織の異なる部門間で連携して行われなければならない。このモデルが成功するかどうかは、この連携にかかっている。
効果的な監督を行うために、取締役会はビジネスに結びついた、明確で比較可能な情報を必要とする。報告書は、トレンドを示し、新たなリスクに警告を発し、技術的な指標をビジネス運営や財務、レピュテーションにおける潜在的な影響へと翻訳したものであるべきだ。それにより、取締役会はリスクがどのように推移しているかを評価し、適時に意思決定を導くことができるようになる。
3. サイバーセキュリティはサードパーティ（外部委託先）にも及ぶ
組織が強力な管理体制を備えていても、サードパーティへの依存度が高いがゆえに脆弱性にさらされることがある。取締役会は、どのプロバイダー、プラットフォーム、サービスが業務に不可欠であるか、またそれらが停止した場合にどのような影響があるかを特定しなければならない。これにより、組織の外部に存在するものの、事業の継続性を脅かし、連鎖的な影響を及ぼしかねないリスクを把握することが可能になる。さらに、サードパーティに対して、自社にもたらすリスクの大きさに応じたサイバーセキュリティ対策を講じるよう要求すべきである。
4. AIを統治することは、リスクを管理することでもある
AIは、生産性の向上やイノベーションだけでなく、サイバーセキュリティの強化においても大きな機会をもたらす。しかし同時に、サイバーリスクへの露出も拡大させる。そのため、戦略に合致した責任ある利用を可能にするポリシー、プロセス、管理体制を備えた、効果的なAIガバナンスが不可欠である。これは、潜在的なリスクを定期的に見直し、管理体制の有効性を監督し、自動化された意思決定を監視し、組織自身のデータとサードパーティのデータの双方において適切なデータ管理を徹底することを意味する。
例えば、メールやデータベースにアクセスし、自律的にタスクを実行できるAIエージェントを考えてみよう。その権限に対する明確な管理や責任追及のメカニズムがなければ、既存のリスクが増幅されたり、予期せぬ脆弱性が生じたりする可能性がある。これは新たな課題を生み出す。AIを統治するとは、その導入を遅らせることではなく、その利用が戦略、リスクアペタイト、規制と確実に一致するようにすることなのだ。
5. レジリエンスこそが競争優位性である
サイバーセキュリティインシデントへの備えを整えておくことは極めて重要であり、それゆえに「攻撃を受けるかどうか」ではなく、「攻撃を受けた際にいかに対処し、回復できるか」が問題となる。後手に回って対応するよりも、事前に備えておくことのほうが価値がある。つまり取締役会は、予防的な管理体制を評価するだけでなく、潜在的な危機を管理して事業の継続性を確保するためのコンティンジェンシープラン（緊急時対応計画）を要求、監督し、更新していく必要がある。
これには、緊迫した状況下での意思決定力を試すシミュレーション演習に参加することも含まれる。レジリエンスとは、組織全体が一丸となって準備を整える必要のある、全員の努力の結晶である。単にレジリエンスがあると宣言すれば済むものではなく、継続的な準備の結果として得られるものであり、それこそが違いを生み出すのだ。
サイバー脅威が進化を続け、相互接続がますます強まるエコシステムを通じて拡散していく環境において、勝敗を分けるのは、予測し、対処し、回復する能力である。
サイバーセキュリティはコーポレートガバナンスの課題として捉えなければならない。取締役会はサイバーセキュリティを戦略的優先事項とし、リスクを管理し、資産を保護し、ステークホルダーの信頼を強化し、長期的に持続可能な価値を創造すべきである。
なぜなら、レジリエンスは危機が起きてから構築されるものではないからだ。それは、危機が発生するずっと前から構築されるものである。
