サイバーセキュリティは従来、最高情報セキュリティ責任者（CISO）の領域とみなされてきた。脅威を特定し、防御策を導入し、攻撃者を侵入させないことを担う、技術に重点を置いた機能である。そしてここ何年もの間、CISOは経営陣の意思決定の場に加わるべきだと、私たちは正当に主張してきた。それは単に技術的な脅威環境を説明するためだけでなく、サイバーリスクが事業全体にどう影響するかを理解するためでもある。
私はいま、その議論を逆方向にも進める必要があると考えている。最高財務責任者（CFO）もまた、サイバーセキュリティの議論の場に加わるべきなのだ。
サイバーセキュリティにCFOが必要な理由
AIは、この現実をいっそう明白にしている。AIはサイバー犯罪の増幅装置として機能し、攻撃の速度と規模を加速させると同時に、サイバー犯罪者が被害者から得る利益を最大化する能力を高めている。OpenAI、Anthropic、DeepSeekといった企業のフロンティアAIシステムに関わる最近のセキュリティインシデントは、こうした能力が理論上のものから現実世界のインシデントへと、いかに急速に移行しているかをあらためて示した。
とはいえ、AIは単なる最新のサイバーセキュリティ課題にとどまらない。セキュリティチームだけで、あらゆる新たな脅威に対応し続けられるという前提に立つ運用モデルの限界を露呈させる、変革を迫る力である。AIは組織に対し、サイバーリスクに関する意思決定のあり方を見直すことを迫っている。
端的に言えば、サイバーリスクは常に事業リスクだった。しかし、常にそのように見られてきたわけではない。いまやAIによって、その現実は無視できないものになっている。サイバー攻撃は、業務の停止や規制対応コスト、評判の毀損、法的影響、収益の喪失に至るまで、あらゆる損害を引き起こし得る。つまりCFOは、もはやサイバーセキュリティに関する意思決定を傍観していることはできない。どのリスクが最も大きな財務的影響を及ぼし得るのかを理解し、事業としてそれらをどう管理すべきかを決める一助となる必要がある。
CFOがCISOになる必要はない
財務リーダーが突然サイバーセキュリティの専門家になる必要はない。ファイアウォールの設定を評価したり、どのエンドポイント検知プラットフォームを導入するかを判断したりする必要もない。それらは引き続き、セキュリティチームが担うべき判断である。
むしろ、CFOに課された役割は、サイバーリスクが自社の財務にどのような影響を与えるかを把握するための現代的なフレームワークを構築し、活用することだ。これこそまさに、AIが組織に導入を促しているフレームワークである。財務リーダーの中には、新たな脅威や重大な脆弱性についてすでにセキュリティチームと協議している者もいれば、リスクがニュースで報じられて初めて耳にする者もいるかもしれない。いずれにせよ、AIはこうした対話の緊急性を高めている。攻撃はより高速かつ大規模に展開可能になっており、組織には、新たな脅威が事業にとって何を意味し、投資判断にどう反映されるべきかについて、共通理解が必要である。
その出発点は、適切な問いを立てることだ。この新たな攻撃手法は、当社の財務的エクスポージャーをどう変えるのか。どのシナリオが最大のバリュー・アット・リスクを生むのか。どの投資が、そのエクスポージャーを実質的に低減するのか。
こうした議論が行き詰まる場面を、私はあまりにも頻繁に目にする。CISOが脅威を技術的な言葉で説明する一方で、CFOはそれを金銭的な観点で捉えるからだ。共通の枠組みがなければ、組織は財務リスクの低減に最も大きな効果をもたらす投資を優先することに苦慮する。
サイバーリスクは定量化できる
AIによって、組織がサイバーリスクについてより迅速で重大な意思決定を迫られているのであれば、その判断を勘だけに頼ることはできない。財務データに基づく必要がある。幸いなことに、サイバーリスクは他の企業リスクと同様に定量化できる。
サイバーリスクの定量化を用いれば、組織は特定の攻撃シナリオが発生する前に、その財務的影響を見積もることができる。たとえば、ある企業はランサムウェア攻撃によって約1000万ドル（約15億7000万円）の損失にさらされる可能性がある一方、ビジネスメール詐欺では75万ドル（約1億1800万円）の損失が生じ得ると把握するかもしれない。こうした情報を得ることで、経営陣は最も大きな財務的効果が見込まれる領域に投資を優先できる。ID管理の強化、イミュータブルバックアップ（変更不能なバックアップ）の導入、あるいは残存リスクの一部をサイバー保険によって移転することなどである。
サイバーリスクがこのように財務的な言葉で表現されると、議論は「この脆弱性はどれほど深刻か」から、「これは事業が直面する最大級の財務リスクの1つなのか」へと移る。そしてその答えに基づき、「では、何をすべきか」が問われることになる。
すべてのリスクに同じ対応が必要なわけではない
組織が自社の財務的エクスポージャーを理解すれば、それをどう管理するかについてより適切な判断を下せる。すべてのサイバーリスクに同じ対応が必要なわけではない。重大な財務的影響をもたらすため、即時の投資が必要なリスクもあれば、業務改善やセキュリティ管理の強化によって軽減できるリスクもある。サイバー保険によって移転するほうが適切なものもあれば、是正コストを踏まえると許容可能なリスク水準と見なせるものもある。
これは、企業が他のあらゆるリスクに向き合う方法と何ら変わらない。組織があらゆる脅威を排除することは決してできないが、全体的なエクスポージャーの低減に最も効果を発揮する領域へリソースを配分することはできる。
これはAIにも当てはまる。私の組織が発表した「2026 Midyear Cyber Risk Report」では、年初からの半年間に当社ポートフォリオ全体で発生した損失のうち、85%超が、フィッシング、ソーシャルエンジニアリング、送金詐欺など、人為的ミスを悪用した攻撃に起因していたことを確認した。
繰り返しになるが、AIはこうした既知の手法をより速く、より効果的にするだけである。だからこそ組織は、次に備える一方で、基本を見失ってはならない。最も賢明な投資は今なお、最大の財務リスク源を低減する投資である。
サイバーレジリエンスは共有された責任である
CFOとCISOがサイバーリスクについて共通理解に基づいて行動すれば、組織全体での対話はより生産的になる。セキュリティチームは事業の言葉でリスクを伝えられ、財務リーダーはより十分な情報に基づいて投資判断を下せる。取締役会は、組織全体のリスク態勢についてより明確な全体像を得られる。こうした足並みのそろいによって、セキュリティ投資の正当化、競合する取り組みの優先順位付け、データに基づくサイバー衛生の改善が長期的に事業の健全性にどう寄与するかの説明が容易になる。
これは、AIがあらためて浮き彫りにしているより大きな教訓である。AIは、サイバーリスクを企業リスクとして管理するための、より優れた運用モデルが長年必要とされてきたことを明らかにしている。AIは脅威環境を変える最後のテクノロジーではないだろう。しかし、リスクについて規律ある、財務情報に基づいた意思決定を行う組織は、次に何が起きても適応しやすい立場に立てる。
