10年以上にわたりサイバーセキュリティ予算の増額、規制の拡大、テクノロジーの高度化が進んできたにもかかわらず、多くの組織はいまだに同じ根本的なサイバーセキュリティの問題に苦しんでいる。
筆者がこのテーマについて定期的に執筆し始めた2015年の時点で、組織はすでに、セキュリティについて何をすべきかを大筋で理解していた。標準規格やフレームワーク、技術的専門知識はすでに容易に入手可能だった。より難しい問いは、複雑な組織全体でどのようにセキュリティを実現するか、そして誰がそれを実行に移すべきか、という点だった。これらの問いはいまも、サイバーセキュリティ課題の核心にある。
テクノロジーは変化したが、マネジメントの問題は変わっていない
取り巻く環境は2015年とは根本的に異なる。クラウドプラットフォーム、デジタルエコシステム、相互接続されたサプライチェーンが企業のテクノロジーを一変させた。ランサムウェアは産業化し、人工知能（AI）は新たな変革の波を生み出している。
サイバーセキュリティそのものも、企業の最重要課題へと格上げされた。予算は増額され、規制は強化された。最高情報セキュリティ責任者（CISO）の存在感は増し、サイバーセキュリティは執行委員会や取締役会で常時議論されるテーマとなった。
それでも、なじみ深い問題は残っている。
責任の所在はいまだに断片化している。サイバーセキュリティの取り組みは組織のセクショナリズム（縦割り構造）の狭間に陥り、変革プログラムは勢いを失う。多額の投資が必ずしも持続可能なビジネス保護につながるわけではない。テクノロジーの進化スピードは、それを支えるマネジメント構造のスピードを超えてしまっているのだ。
サイバーセキュリティ業界は常に、「何をすべきか（what）」を定義することには非常に長けてきた。優れたセキュリティがどうあるべきかを組織に示すフレームワーク、管理策、標準規格、資格認定、テクノロジー、手法が揃っている。しかし、「どのように（how）」と「誰が（who）」は、はるかに難しい。
競合する優先事項を抱える複雑な組織全体で、こうした能力をどのように実装するのか。インシデントや監査という差し迫った圧力を越えて、それをどのように維持するのか。そして、それを実現する責任は誰にあるのか。
フレームワークで社内政治は解決できない。セキュリティプラットフォームで経営陣の責任感を生み出すことはできない。規定だけで事業部門とIT部門の協働を強制することはできない。これらはマネジメントとガバナンスの問題なのだ。
ガバナンスの問題
組織はCISOの役割を再考する必要がある。セキュリティに関係するからといって、サイバーセキュリティのあらゆる結果をCISO単独の責任にすることはできない。
IT・技術チームはインフラとアーキテクチャを管理し、事業部門のリーダーは重要なプロセスやアプリケーションを統括する。購買部門はサプライヤー関係を管理し、その他のコーポレート部門もサイバーレジリエンスに重大な影響を与える意思決定を行う。責任は権限に伴うべきである。サイバーセキュリティに影響を与える意思決定を行う権限を持つ幹部は、その決定に対して相応の責任を負わなければならない。
この連動がなければ、リスクを生み出している多くの要因をCISOがコントロールできない場合であっても、組織はサイバーセキュリティの問題解決をCISOに依存し続けることになる。それは持続可能なガバナンスとは言えない。
CISOが最高情報責任者（CIO）に報告すべきか否かをめぐる継続的な議論は、この問題を如実に示している。CIOとCISOは異なるプレッシャーの下で業務を行っている。CIOはコスト、納期、可用性、イノベーション、変革のバランスを取る。一方、CISOは保護とレジリエンス（回復力）に集中する。そこには緊張が生じ得るが、その緊張は建設的なものにもなり得り、必ずしも衝突を意味するわけではない。
組織図上でCISOの配置を変更しても、競合する優先事項が解消されるわけではない。また、現代のCIOであれば認識すべき、セキュリティ、アーキテクチャ、クラウド、アイデンティティ、ソフトウェア開発、AI、デジタル変革の間で高まる相互依存性も消えない。本当の問いは、報告ラインをどこに置くかではなく、CISOが組織の期待に応えるために必要な権限、信頼性、ガバナンス上の支援を有しているかどうかなのだ。
サイバーセキュリティの問題は主に資金不足が原因であると思われがちであり、確かにさらなる投資が必要な組織もある。しかし、資金を追加投入しても、脆弱なガバナンス、分散した責任、不明確な優先順位、あるいは不十分な実行力を補うことはできない。サイバーセキュリティは資金不足であることもあるが、それ以上に「マネジメント不足」であることが非常に多い。
短期思考の悪循環を断ち切る
多くの組織が、筆者が「サイバーセキュリティにおける失敗のスパイラル」と呼んできた罠にとらわれたままである。
インシデントが発生する。経営陣の関心が高まる。資金が拠出される。是正プログラムが立ち上がる。
やがて、直近のプレッシャーが和らぐ。他の優先事項が浮上する。変革の勢いが衰える。構造的な問題は未解決のまま残る。そして最終的に、別のインシデントが発生して再び同じサイクルが始まるのだ。
このパターンを断ち切るには、持続的なガバナンス、明確な責任体制、そしてサイバーセキュリティがその日の危機でなくなったときにも方向性を維持できるリーダーシップが必要である。
ここで取締役会は重要な役割を担う。課題はもはや、サイバーセキュリティが重要であると取締役に納得させることではない。取締役会は、その認識を優先事項、責任の所在、投資、実効性のあるレジリエンスに対する持続的な監督へと転換する必要がある。そのために、経営陣に対して以下を積極的に促すべきだ。
- 責任者が誰であるかを定義すること
- 既存のサイバーセキュリティ投資を最大限に活用すること
- 会社全体のレジリエンスを定期的にテストすること
「サイバーセキュリティ」から「ビジネス保護」へ
テクノロジーは今後も変化し続ける。AIはその変化を加速させ、新たな脅威が出現し、新たな規制が整備されるだろう。しかし組織は、新たな展開があるたびにそれを理由として別の戦術的プログラムを立ち上げ、さらにテクノロジーを買い足し、結局は複雑さを増すだけという誘惑に耐えなければならない。
その根底にある本質的なニーズは、過去10年間でほとんど変わっていない。サイバーセキュリティは、優れたリーダーシップ、強固なガバナンス、明確な責任、そして持続的な実行にかかっている。
組織がサイバーセキュリティに十分な費用をかけているかを長年問い続けてきたが、経営陣や取締役会はそろそろ、より難しい問いを投げかけるべきかもしれない。「私たちはサイバーセキュリティを、真のビジネス保護能力として適切にマネジメントできているだろうか」と。
