世間で言われていることは誇張されています。経営陣がセキュリティ脅威に無関心なのではなく、多くの場合、サイバーセキュリティ特有の言葉の壁に苦労しているのが実情です。
サイバー攻撃はますます深刻な被害をもたらすようになっており、組織のあらゆる部門で予防と復旧の取り組みが求められています。しかし最高情報セキュリティ責任者(CISO)やITチームは、経営層から十分な支援を得られていないと感じています。これがCISOへのプレッシャーをさらに強め、攻撃への対応と、その後の壊滅的な影響の管理という二重の負担を強いています。
しかし攻撃は事業運営や組織の評判に影響を及ぼし、法的な問題に発展することもあるため、全員が同じ認識を共有する必要があります。脅威の状況が深刻化する中、取締役会がセキュリティに関心を持たないという固定観念を払拭しようと、経営陣が動き始めており、この重要性を認識する企業は増えています。
TPOグループの最高執行・リスク責任者であり、Microsoftの元最高セキュリティ・リスク責任者でもあるエドナ・コンウェイ氏によれば、取締役会がスピードや成長を優先してサイバーセキュリティの優先度を下げているという認識は、実は的外れだといいます。
「実際には、優れた取締役はサイバーリスクだけでなく、事業に関わる人々やミッション、さらには組織の外側で起きているあらゆることにも深く関心を寄せています」とコンウェイ氏はDark Readingに語りました。
透明性は行き過ぎることがあるのか
透明性は、経営陣がセキュリティを優先していないという主張を後押ししてきた、大きな争点の一つです。Checkmarxの最近のレポートによると、CISOの95%が、自組織で発見されたセキュリティ問題を隠すよう経営陣や取締役会から圧力を受けていると感じています。
CISOはリアルタイムで脅威を追跡し対応しています。一方、取締役会の役割は利益と成長に注力することです。脆弱性や攻撃(未遂も含む)を開示すれば事業成長を損ないかねず、そこに両者の役割の衝突が生じがちです。CISOは望ましくないセキュリティに関するニュースについて先手を打ちたいと考える一方、取締役会はそれを伏せておきたいと考える場合があります。
しかしコンウェイ氏は、セキュリティや最先端テクノロジー企業の取締役会に参加し、その成長に投資するプライベートエクイティ企業と協働する中で、これとは逆の状況を目にしてきたといいます。
「私たちは共に、透明性によって生き、透明性によって成り立っています」と同氏は述べます。「それは投資判断を下すための拠り所であり、いったん投資を決めたら、経営陣を支えて全員が成長できるようにする、そのための拠り所でもあります。自分たちの利益のためだけでなく、関わる全員のためにです。停滞していては、誰も勝つことはできません」
こうした考え方を取り入れる企業が増えているのは、サイバーセキュリティをもはや無視できない状況にあるためです。サイバーセキュリティは今や、事業活動や日常生活のほぼあらゆる側面に浸透しています。脅威アクターは事業運営、個々の従業員、顧客データ、サプライチェーンを標的にしています。
Quadrum Advisorsのパートナー兼共同創業者であるクリス・ノヴァック氏によれば、依然として多くの取締役はセキュリティをIT部門が解決すべき問題と捉えているといいます。しかし同氏は、事業運営や顧客、収益、規制上の義務、評判、長期戦略に影響を及ぼす以上、取締役会がサイバーセキュリティを企業全体のリスク・レジリエンスの問題として捉えるようになってほしいという強い期待があるとも付け加えます。
取締役会とセキュリティチームはそれぞれ固有の責任を維持しつつも、企業が直面するセキュリティ上の課題が増えるにつれ、両者の境界線は曖昧になりつつあります。
「一般的に、取締役がサイバーセキュリティの実務家になることを期待されているわけではありませんし、そうあるべきでもありません」と同氏は付け加えます。「彼らの責任は、経営陣が組織にとって最も重大なリスクを特定し、そのリスクについて慎重な意思決定を行い、予防的な統制が機能しなかった場合に会社が対応・復旧できることを示せているかどうかを理解することにあります」
取締役会、神話、そして伝説
取締役会のメンバーがセキュリティに関心を持たない、あるいは優先していないというのが神話なのかどうかは一筋縄ではいかない問題であり、サイバーセキュリティへの注目が高まるにつれて、その実態も年々変化してきました。ほとんどの取締役会メンバーは、セキュリティを優先事項だと公然と述べるでしょうし、ノヴァック氏はその言葉に嘘はないと考えています。
「彼らの多くが私のところに相談に来る際の課題は、セキュリティへの関心の欠如ではなく、むしろより手厚い支援を求めているということです」と同氏は語ります。
この神話は、理解不足に起因することがあります。特に人工知能の時代においては、組織のセキュリティ態勢をどう検証するのが最善かを見極めることがますます難しくなっている、とノヴァック氏は説明します。
セキュリティチームと取締役会の間のコミュニケーションは、両者にとって大きな障壁となっています。両者が事実上、異なる言語を話しているからです。ノヴァック氏によれば、サイバーセキュリティの専門家は脅威や統制の観点で語る一方、取締役はエクスポージャー、レジリエンス、トレードオフ、説明責任の観点でガバナンスを考えるといいます。
CISOのプレゼンテーションにはセキュリティ状況を示す何十もの指標が並びますが、経営陣からすれば、どの重要な事実に注目すべきか、そこからどのような経営判断が必要なのかが伝わってこないと感じている、と同氏は付け加えます。経営陣が知りたいのは、どの事業サービスが中断され得るのか、どのリスクが増大しているのか、あるいは脅威がもたらす財務的・評判上の影響がどの程度かといった点です。
「両方の集団から繰り返し耳にするのは、沈黙を合意のサインだと受け取っていた、あるいは沈黙を関与の欠如だと受け取っていた、という声です」と同氏は付け加えます。「その認識のずれはトレーラートラックが通り抜けられるほど大きく、関係者全員を不必要なリスクと訴訟にさらすことになります」
認識のずれをどう解消するか
取締役会とセキュリティチームの結束を目指す企業にとって、コミュニケーションのギャップを埋めることは欠かせません。そして両者にはすでに多くの共通点があります。どちらもより手厚い支援を求めているという点です。
ノヴァック氏によれば、取締役会にとってそれは、脅威環境に関する定期的な教育、経営陣の前提を検証・確認する必要がある際に参照できる独立した視点へのアクセス、そして重大なサイバーインシデントが発生した際に組織がどのように意思決定を下すかを検証する現実的なシミュレーションへの参加機会といった形を取り得ます。
セキュリティチームの側では、取締役会への報告を技術的な活動内容からではなく、事業への影響から始めることでギャップを縮められると同氏は勧めます。どの重要なサービスが中断され得るか、財務的・評判上の影響はどの程度か、組織がどれほど迅速に復旧できるかの内訳を示すべきだといいます。
「取締役会とセキュリティリーダーは、一貫していて意思決定に役立つ、少数の指標について合意しておくべきです」と同氏は述べます。「重大なエクスポージャー、復旧への備え、サードパーティリスク、インシデント対応の準備状況、組織のリスクプロファイルの変化について安定的に報告する方が、絶えず変化する技術指標の寄せ集めよりもはるかに有用です」
目指すべきは、取締役をサイバーセキュリティの専門家に、あるいはセキュリティリーダーを企業取締役に変えることではない、と同氏は改めて強調します。むしろ、双方が効果的に協働できるだけの、互いの責任範囲に対する理解を持つことが必要なのです。
こうした視点の転換は、CISOと取締役会の効果的なコミュニケーションにとって極めて重要だとコンウェイ氏は言います。
「テクノロジーは私たち人間を支え、力を与えるためにあるのであって、その逆ではないという原点を、私たちは忘れがちです」と同氏は述べます。「テクノロジーを支えるために私たちが働くという状況に至ってしまったら、それはやり過ぎです」
翻訳元: https://www.darkreading.com/cybersecurity-operations/cisos-vs-boards-myth-or-misunderstanding-
