eSecurity Planet のコンテンツおよび製品に関する推奨事項は、編集上の独立性が保たれています。当サイトはパートナーへのリンクをクリックいただくことで収益を得る場合があります。 詳細はこちら
サイバーセキュリティは今や取締役会において定例の議題となっています。しかし、多くの最高情報セキュリティ責任者(CISO)は、事業判断に資する形でサイバーリスクを伝えることに依然として苦労しています。
ブラックハット2026の会期中に発表されたPulse SecurityのThe CISO-Board Communication Gap(CISOと取締役会のコミュニケーションギャップ)と題するレポートによれば、この課題は単にプレゼンテーションを改善すれば解決するものではないといいます。
むしろ調査は、不明確なガバナンス、未定義のリスク許容度、そして分断された報告プロセスが構造的な障壁となり、取締役会が組織のサイバーリスクを十分に理解できない原因になっていると指摘しています。
CISOレポートの主な要点
- 半数を超える組織が、サイバーリスク許容度を正式に定義していない
- 取締役会とのコミュニケーションの成否は、プレゼンテーション技術よりもガバナンスに左右される
- 大半のCISOは、取締役会向けのサイバーリスク報告書を1件作成するのに10時間以上を費やしている
- 取締役会には、明確なガバナンスと定義済みのリスク閾値に裏付けられた、事業重視のサイバーリスク報告が必要
- 報告の自動化と体系的な取締役会エンゲージメントの確立により、サイバーセキュリティの監督体制を改善できる
未定義のリスク許容度がコミュニケーション上の問題を生む
このレポートは、42名の回答者を対象とした調査、20件を超える詳細インタビュー、2回のモデレート付きワークショップ、そして80名を超えるシニアセキュリティ実務者からの知見をもとにまとめられています。
調査結果は統計的な代表性を意図したものではありませんが、取締役会や監査委員会の会議に定期的に参加している経営幹部の実体験を反映しています。
このレポートで最も注目すべき発見の一つは、組織の55%がサイバーリスク許容度を正式に定義していないという点です。
許容可能なリスクについて合意済みの閾値がなければ、CISOはセキュリティ指標を評価するための共通の事業基準を持てないケースが多くなります。
取締役会とのコミュニケーションにおいて、FAIRのような定量的サイバーリスクモデルの活用に成功していると回答したのは、回答者のわずか16%にとどまりました。
回答者たちは、セキュリティリーダーに専門用語を平易にすることを求めているわけではなく、セキュリティ投資がどのように事業リスクを低減し、レジリエンスを高め、組織の目標を支えるのかについて、より明確な説明を求めていると答えています。
このため、レポートはコミュニケーション上の課題の根本原因は、プレゼンテーション技術よりもむしろガバナンスにあると示唆しています。
取締役会の理解に対する信頼度は依然として低い
今回の調査では、CISOと取締役会の間に存在する「信頼のギャップ」も明らかになりました。
取締役会向けプレゼンテーションの後、自社のセキュリティプログラムの実態を取締役会が完全に理解していると「非常に確信している」と回答したセキュリティリーダーは、わずか12.5%にとどまりました。
大半の回答者は、取締役会の理解度について「ある程度確信がある」または「どちらとも言えない」と自己評価しています。
興味深いことに、重大なサイバーセキュリティインシデントの発生後には、この信頼度が向上する傾向が見られました。
重大な侵害を経験した回答者のうち、53%がその後に取締役会からの信頼が高まったと回答しています。
レポートによれば、実際に発生したインシデントは、通常の四半期プレゼンテーションではなかなか得られない、取締役会とセキュリティリーダーが組織のリスクについて認識をすり合わせるための共通の文脈を提供することが多いといいます。
取締役会への報告には相応の業務負荷が伴う
取締役会向けのサイバーセキュリティ報告の準備は、依然として多大なリソースを要するプロセスです。
レポートによると、回答者の71%が報告サイクル1回あたりの準備に10時間以上を費やしており、多くの組織では数多くのセキュリティツールから情報を収集・整合させるために複数の担当者を必要としています。
経営層向けプレゼンテーションの作成、データの集約、そして技術的な調査結果をビジネス言語に翻訳する作業が、この準備時間の多くを占めています。
回答者は、準備の負担を軽減しつつ一貫性を高める最も効果的な方法として、データ集約の自動化、セキュリティ調査結果の自動要約、そして事業重視の報告ツールの改善を挙げています。
ガバナンスの改善が取締役会とのコミュニケーションを強化する
報告の仕組みそのものにとどまらず、今回の調査はサイバーセキュリティの監督に影響を及ぼす、より広範なガバナンス上の課題も浮き彫りにしています。
回答者の半数近くが、率直な議論を行うための取締役会との非公開の経営層セッションを持てていないと回答しました。また50%は、過去1年間に取締役会がサイバーリスクの受容・低減・移転について明確な意思決定を行っていないと回答しています。
さらにレポートは、サイバーリスクの伝達方法として、定量的な財務指標を用いる例ははるかに少なく、定性的な説明が依然として主流であることも明らかにしています。
組織が取締役会とのコミュニケーションおよびサイバーリスクガバナンスを強化できるよう、レポートは次の5つの実践を推奨しています。
- 報告に先立ち、サイバーリスク許容度を定義する
- 取締役会での議論は、技術的な統制ではなく事業への影響に焦点を当てる
- 取締役会向け報告を効率化するため、データ集約を自動化する
- インシデントが発生する前に、サイバーインシデントのエスカレーション閾値を定めておく
- CISOと取締役会メンバーの間で非公開セッションを定期的に開催し、率直なリスク議論を促す
CISOにとってこの調査結果が示すのは、取締役会との効果的なコミュニケーションには、洗練されたプレゼンテーション以上のものが求められるという点です。
明確なガバナンスの確立、リスク閾値の定義、そして事業重視の報告体制を整えることは、報告に伴う負担を軽減しながら、取締役会がより的確なサイバーセキュリティの意思決定を下す助けとなるでしょう。
