セキュリティリーダーとその組織にとって、レジリエンス(回復力)が予防対策を上回る最重要課題になりつつある中、この戦略的転換を果たしたCISOたちが、その役割を担う上で何が求められるのかを語ります。
CISOの役割は、本来の予防中心の業務から進化し、インシデント対応や事業継続・復旧により重点を置くようになった結果、いつの間にか組織の事実上の「最高レジリエンス責任者」としての立場を担うようになっています。
「IT畑を歩んできた経験豊富なCISOなら誰でも、稼働率を重視する運用面での考え方を持っています」と、OnXとCBTSのコンサルティングCISOを務めるジョン・ブルッゲマン氏は述べています。「彼らは『完全にダウンして業務を遂行できなくなる事態を、どう防ぐか』を常に考えているのです」
従業員4万人規模のグローバル企業から、従業員75人・売上高3億ドルの企業まで、数多くの組織で30年のキャリアを積んできたブルッゲマン氏は、サイバーセキュリティの責任を一手に担い、復旧対応まで含めて責任を負うCISOが直面する課題を、身をもって経験してきました。
ブルッゲマン氏によれば、CISOはこれまでも常にレジリエンスの視点を持っていたものの、それが今になって明確に名指しされ、あらゆる事業活動の基盤として位置づけられるようになったにすぎないといいます。組織にとっても、そしてCISO個人にとっても、これ以上ないほど重大な局面を迎えているのです。
例えば、CrowdStrikeは世界規模の障害を受けて、初の最高レジリエンス責任者を任命しました。これは、同社が業務体制の強化に本気で取り組んでいることを、顧客や規制当局、投資家に示すメッセージでした。
とはいえ、すべての組織がレジリエンス専任のCスイート職を新設するとは限りません。多くの場合、その業務は次第にCISOの手に委ねられており、セキュリティリーダーたちもそれに応じ始めています。
ブルッゲマン氏は、事業継続計画や事業影響度分析を策定する際、真っ先にレジリエンスの視点から考えます。ほとんどの組織にとって中心となる問いは「システムがダウンした場合、どれだけの金額を失うのか。売上への影響はどの程度か」というものです。
そのため、ブルッゲマン氏は、CISOがサイバー運用に対する理解と資金の両方を取り付けるための手段として、「レジリエンス」といった言葉を取締役会での議論で強調すべきだと強く考えています。
「Gartnerがそれを話題にすれば、CEOも話題にするようになり、そうなれば取締役会でも議論されるようになります。そして最終的に、CISOはこれまで訴え続けてきたことへの予算を確保できるようになるのです。『バックアップ』という言葉を『レジリエンス』に置き換えるだけで済むなら、誰もが喜んでそうするでしょう」
稼働率を超えたレジリエンスの再定義
従来、レジリエンスは稼働率という狭い枠組みで定義されてきましたが、CISOの役割が事業運営を支える方向へと進化するにつれ、その定義も変わりつつあります。
Transcendのコンサルタント兼CIO・CISOインレジデンスを務めるエイミー・カードウェル氏にとって、レジリエンスとは単に障害後にシステムを復旧させること以上の意味を持ちます。
カードウェル氏の見方では、レジリエンスは、システムのダウンタイムからの復旧と、トークン化や暗号化によるデータ窃取からの防御の両方で測るべきものです。しかし、これまでこの両者が同等に重視されてきたわけではありません。組織は往々にして復旧稼働を最優先しがちですが、機微なデータがどこに存在し、どの程度露出しているかを把握することも見過ごせない、と同氏は指摘します。
医療や金融サービスなど規制の厳しい業界の組織は、規制当局からの罰則や顧客からの信頼喪失につながりかねないことから、稼働率よりもデータ保護を優先する傾向があります。「銀行であれば、40分で復旧してデータ損失を出すよりも、1日、あるいは2日ダウンしてでもデータ損失を出さない方がよいはずです。ブランドへのダメージが大きく違ってきますから」とカードウェル氏は語ります。
特に機微なデータを保有しない企業では、この方程式が逆転します。例えばAmazonはクレジットカード番号をトークン化しているため、仮に侵害が発生しても、露出するのは顧客の氏名、住所、メールアドレスだけで、金融情報や健康情報は流出しません。「機微なデータのスペクトラム上のどこに位置するか……レジリエンスの基準がどこにあるかによります」と同氏は言います。「Amazonのような企業であれば、一刻も早く復旧したいはずです。1分ごとに数百万ドル単位の損失が発生するのですから」
カードウェル氏は、CISOはシステム復旧の速度だけでなく、どのようなデータをどの程度まで失うリスクを許容するのか、データ損失に関する明確な許容基準を設定する必要があると主張します。
「平均復旧時間を算出するための取り組みは各社行っていますが、データ損失についても同様の議論を行うことが必要だと思います。もしCISOがまだそれをしていないのであれば、議論に加えるべきです」と同氏は述べています。
AIの急速な普及も、CISOに突きつけられているレジリエンスのもう一つの試練です。これにより、見えないデータ露出のリスクが増幅し、これまで理論上の議論にすぎなかったデータ損失の問題が、現実の運用課題へと変わりつつあります。
カードウェル氏は、ある医療機関の事例を挙げています。この企業では、15年分の患者データが、基幹システムではなく経理フォルダを通じて流出しました。大手組織に対して請求書を発行する小規模な医療プロバイダーだったこの企業は、患者の氏名や番号、病状情報を何年分もの請求書に添付しており、それらが誰も保護の必要性に気づかない場所に無防備なまま置かれていたのです。
「なぜ経理フォルダにこれほど多くの医療データがあったのか」と同氏は問いかけます。これは、いかなる境界防御でも捉えられなかったであろう、いわゆる「シャドーデータ」問題の典型例だと同氏は指摘します。
「CISOたちはずっと『どこにあるか分からなければ守りようがない』と訴え続けてきたように思います。シャドーITがあり、シャドーデータがあり、AIがそれを10倍に増幅させているのです」とカードウェル氏は語ります。「レジリエンスの問題の多くはそこにあります。大企業においては、すべてのデータがどこにあり、どのように使われているかを完全に把握することは、ほぼ不可能に近いのです」
この拡散を抑えるため、カードウェル氏は、CISOが機微なデータを守るロールベースアクセス制御(RBAC)の推進役を担う必要があると述べていますが、ベストプラクティスと実際の現場水準との間には無視できない差があるといいます。
「どのCISOも、ロールベースアクセス制御こそが企業にとって最も重要な取り組みだと口を揃えます。そして同時に、それをうまく実践できている企業を見たことがないとも口を揃えるのです。ここでいう『うまく』とは、70%以上のレベルという意味です」と同氏は述べています。
最高レジリエンス責任者がデータ保持ポリシーなど特定の機能を担うことは考えられますが、その職務範囲は、他の部門ですでに明確な境界を持つ役割と重複してしまいます。監査、プライバシー、法務については境界が明確ですが、レジリエンスは、すでに平均復旧時間を管掌するCIOや、場合によっては最高データ責任者とも直接ぶつかり合う領域なのです。
「もしあなたがCEOだとして、レジリエンスに関する質問は誰にすればよいのでしょうか」と同氏は問いかけます。「明確な境界線がなければ、話は少々複雑になります」
レジリエンスの発想を実行に移す
CommVaultのCSOを務めるビル・オコネル氏によれば、レジリエンスはまず組織にとっての「必要最小限の事業運営(Minimum Viable Operations)」を定義することから始まります。そこから逆算して、何を優先し、何を守るべきかを決め、問題発生時に何を最初に復旧させるかを訓練していくことになります。
「機能し続けるために必要な事業の最小単位を定義し、それを軸に復旧の優先順位と訓練を組み立てるのです」と同氏はCSOに語っています。
最高事業セキュリティ責任者やグローバルセキュリティ運用の要職を歴任してきた、長年サイバーセキュリティに携わるオコネル氏は、レジリエンスの発想とは、プロセスを「紙の上」から「実践」へと移す運用面での考え方だと述べています。
同氏は、インシデントで最も困難な局面は、組織がこれまで一度も訓練したことのない手順に直面した時であることを、身をもって経験してきました。
「あらゆる種類の障害を経験してきましたが、いつも問われるのは『重要なポイントは何か』『誰に話すべきか分かっているか』『どこに行けばよいか分かっているか』『必要な情報をどう入手すればよいか分かっているか』ということです。それを日頃から訓練していなければ、その分だけ苦しい思いをすることになります」と同氏は語ります。
同氏は、事業継続計画や災害復旧計画を監査担当者向けの「単なるWord文書」として扱うことに警鐘を鳴らします。「障害発生時に誰が誰と話すか、どこへ行くか、どうやって情報を得るか」を実際に訓練しておくことが不可欠だといいます。
その代わりにオコネル氏が勧めるのは、「ResOps」というアプローチの構築です。これは、組織が最も重要なサービスをいかに復旧させるかを、繰り返しテストし、訓練し、改善していく仕組みです。「DevOpsがあります。SecOpsもあります。ではResOpsはあるでしょうか。レジリエンスを確保するための仕組みは整っているでしょうか」と同氏は問いかけます。
オコネル氏はまた、レジリエンスを犠牲にして防御に偏重しすぎることにも警鐘を鳴らしていますが、この発想の転換を受け入れるのは多くのCISOにとって容易ではないとも理解しています。
「CISOと話すときは注意が必要です。『防御のことはあまり心配しなくていい』と言うと、彼らは不安になります。それが自分たちの仕事だからです。しかし、これは『防御への取り組みを減らせ』という意味ではなく、『復旧や可用性、レジリエンスの部分への取り組みがまだ十分ではないので、そこのバランスを取る必要がある』という意味なのです」と同氏は述べています。
取締役会に対しては、オコネル氏はリスク、想定される影響、そして緩和策という枠組みで議論を展開しています。これには、事業リーダーたちと同じ目線に立ち、彼らが目にしている課題や機会に目を向け、サイバーセキュリティがそれらの成果をどのように支えるのかを説明するアプローチが求められる、と同氏は述べています。
CISOがレジリエンスの使命を強化するための助言
ブルッゲマン氏は、自身のコンサルティング経験を踏まえ、レジリエンスを確かな使命へと転換したいと考えるセキュリティリーダーに向けて、実践的な助言を示しています。
「CISOは、レジリエンスに関わる業務の全責任を自ら背負いたくないかもしれません。しかし、GRC(ガバナンス・リスク・コンプライアンス)やコンプライアンス担当者と連携することはできます。両者とも組織の成功を望んでいる点は同じですが、それを実現し、資金を確保するための手段が異なるだけなのです」と同氏は述べています。
このように連携すれば、CISOがサイバーリスクと運用リスクを明確化し、GRC・コンプライアンス部門がそれらのリスクを制度化・数値化し、CFOやCOOがそれを予算と組織的な権限へと転換していくという流れが生まれます。
「『はい、この問題はあなたに任せます』と言うようなことではなく、『一緒に取り組みましょう』と言うことなのです。なぜなら、これは共有すべき責任だからです」と同氏は述べています。
ブルッゲマン氏はこれまで、単独の最高レジリエンス責任者を目にしたことがないといいます。責任がさまざまな部門にまたがって存在しているためであり、それはCISOがCスイートにおける自らの存在感を高めていく好機でもあります。
「レジリエンス責任者を置いている企業に、私は一社も出会ったことがありません。CIOにも一定の責任があり、CISOにも一定の責任があり、そして真の意味での“最高”であり“責任者”であるCOOにも責任があります」と同氏は述べています。「私はそれを、単一の役職というよりも、パートナーシップとして捉えています」
