役割の再定義：優れたCISOとは何か

Lane Sullivan, チーフインフォメーションセキュリティ＆ストラテジーオフィサー, Concentric AI

2025年8月8日

読了時間：5分

スーツ姿の男性が「CISO」の文字を指差している；見えているのは胴体と指差している手のみ

出典：Panther Media Global（Alamyストックフォト経由）

論説

今日のチーフインフォメーションセキュリティオフィサー（CISO）は、戦略的リーダーシップ、財務リテラシー、技術的専門知識、人間関係のバランスを取る役割です。従業員が100人でも10万人でも関係ありません。もはや境界防御だけが役割ではなく、リスクを明確かつ勇気と戦略的意図を持って管理しながら、レジリエンスを持ってビジネスを前進させることが求められています。

現場での長年の経験から、本当に効果的なCISOになるために必要なことを学びました。誰もが異なる道を歩み、企業もそれぞれ異なります。これらのヒントが必要ない場合もあれば、すべてから洞察を得られるかもしれません。

1. 守るべきビジネスを理解する

理解していないものは守れません。セキュリティ指標を超えて、ビジネス成功の本質を学びましょう。

会社はどのように機能し、収益を上げているのか？
営業サイクルはどうなっていて、現場で何が起きているのか？
部門同士はどのように連携しているのか？

学んだことはチームと共有しましょう。全体像を理解する助けになります。

2. ビジネス全体に橋をかける

セキュリティは孤立して存在するものではありません。経営層や各事業部門との関係構築が不可欠です。

信頼はあなたの通貨です。特に「自分の役割外」のことを手伝うときに、時間をかけて築かれます。
ビジネスリーダーと定期的に1対1の面談を行い、彼らの目標や課題を理解しましょう。
非技術系社員向けに毎月「CISO暖炉トーク」を開催し、セキュリティを身近に感じてもらい、フィードバックを聞きましょう。
法務やプライバシー部門も、外部顧問を含めてチームの一部と考えましょう。

コントロールではなく、協働の文化を築きましょう。

3. マネージャーではなくリーダーであれ

人材こそが最も価値のある資産です。守り、投資し、力を与えましょう。

明確なガードレールと目標を設定し、チームに最善の道を見つける余地を与えましょう。
マイクロマネジメントは避けましょう。タスクを管理しているだけでは、人を導いていることにはなりません。
優秀な人材を採用し、信頼し、投資しましょう。
メンタルヘルスにも気を配りましょう。インシデントが起きてからでは遅すぎます。
批判的ではなく、好奇心を持ちましょう。

成長は、希望と責任を持ってリードすることで生まれます。

4. 18～36か月の戦略を立て、四半期ごとに見直す

5年計画は素晴らしいものですが…現実は半年で変わることもあります。代わりに、次のことを実践しましょう：

組織の戦略と自分の戦略を一致させましょう。ビジネス目標をどう支援するか示す必要があります。
既知の成熟度ギャップを含めた18～36か月のローリング戦略を構築し、90日ごとに再評価して再調整しましょう。
新しい技術を恐れないでください。イノベーションは創造から始まるわけではありません。

戦略は静的なものではありません。進化・調整させましょう。

5. 財務感覚

自社の財務を理解することは必須です。最高財務責任者（CFO）の言葉で話せなければ、意思決定の場に加われません。

現金主義と発生主義会計の違いを学びましょう。
資本化と費用計上の使い分けを理解しましょう。
恐怖に基づくストーリーではなく、ビジネス目標に沿った説得力のある予算を作りましょう。

組織の財務メカニズムを理解しているセキュリティリーダーは、ビジネスパートナーであり、予算の負担ではありません。

6. 情報収集とネットワークへの投資

サイバーセキュリティの動きは速いので、ニュースに驚かされないようにしましょう。

業界イベントやカンファレンスに参加し、セッションだけでなく人脈も築きましょう。
セキュリティリーダーは世界の生徒であるべきです。新技術、地政学、脅威アクターのトレンドを常に把握しましょう。あなたの仕事は、単に反応するのではなく、先を読むことです。
可能な限りメンターになりましょう。

カンファレンスの価値は基調講演よりも会話にあることが多いです。厳しい日には、誰に電話できるかを知っていることが、技術スタックの中身より重要です。仲間がインシデントに直面していると知ったら、連絡を取り、気遣いましょう。

7. リスクについて率直に語り、レジリエンスを築く

取締役会や経営陣は、飾られた報告を求めていません。真実と、それに伴う計画を求めています。

リスクについては、たとえ言いにくくても透明性を持ちましょう。ただし、必ず提案も用意しましょう。
企業リスクと個人リスクの境界線を引き、それを越えないようにしましょう。
相手が理解できる言葉や例えを使いましょう。技術用語だけでは通じません。
すべてはリスクとレジリエンスに基づいています。「それで？」と自問しましょう。彼らもそう尋ねます。
インシデント発生前に、経営陣に何が期待されるかを明確にしておきましょう。後で必ず役立ちます。

セキュリティの世界では悪いニュースは避けられません。あなたを定義するのは、その対処方法です。

8. 本当のリスクはデータ

つまり、あなたの仕事はシステムのパッチ適用だけでなく、機密データを守り、管理し、武器化させないことです。

データがどこに存在するか把握しましょう。
誰が、なぜデータにアクセスするのか理解しましょう。
境界防御だけでなく、データ中心のコントロールに注力しましょう。
レジリエンスの計画があることを確認しましょう。

ハイブリッドクラウド、AI、サードパーティの拡大する世界では、データファーストのセキュリティ戦略はもはや選択肢ではなく、基盤です。

9. 報告と重要な指標

取締役会は逸話ではなく、測定可能な進捗を求めています。手元のデータを使ってストーリーを伝えましょう。

ビジネスに沿った指標で報告しましょう。
プログラムがリスク低減やレジリエンス向上にどう寄与しているか示しましょう。経営層の言葉に翻訳しましょう：レジリエンス、リスク低減、事業継続、評判保護。
CISOは配布されるレポートの情報に責任を持ちます。必ずすべてを把握しましょう。

数字はストーリーテリングの代わりにはなりませんが、信頼性を与えます。

10. サードパーティおよびサプライチェーンリスクを担う

リスクは自社インフラで終わりません。サードパーティベンダーや統合は最も弱いリンクとなり得ますし、社内インシデント以上の影響を及ぼすこともあります。

ベンダーは調達時、インシデント後も含めて早期から評価し、継続的にセキュリティ態勢を確認しましょう。
契約上のセキュリティ要件（AIを含む）やアクセスガバナンスのレビューを盛り込みましょう。
サードパーティとの接続を把握しましょう。インシデント発生時にはこれが半分の勝負です。

あなたの強さは最も弱いパートナー次第です。その鎖を強化しましょう。

11. AIを活用しつつ、統治する

AIはもはや流行語ではなく、新たな機会とリスクをもたらします。

データ、法務、プロダクトチームと連携し、安全なAI導入を導きましょう。
データ漏洩、シャドーAIの利用、モデルの悪用を防ぐコントロールを定義しましょう。
AIガバナンスはプログラムの一部として扱い、後回しにしないでください。

AIは私たちの業務を再構築します。リスクプロファイルを悪い方向に変えないようにしましょう。

最後に

セキュリティは全員の責任ですが、CISOであるあなたから始まります。

大胆にリードしましょう。広い視野を持ちましょう。ビジネスの言葉で語りましょう。人を守りましょう。そして、ミッションを見失わないでください：リスクに直面しても、組織が繁栄できるようにすることです。