取締役会は、セキュリティ管理策やアーキテクチャが事業リスクをどれだけ軽減しているかについて、レジリエンス、影響度、意思決定との関連性という観点から示された裏付けを求めています。しかし、技術的な調査結果をビジネス言語に翻訳する作業は、依然としてCISOにとって大きな時間的負担であり、より簡潔なデータ提供、より優れたフレームワーク、より充実したコンテキストを求める声が上がっています。
Pulse Security AIによるレポート「The CISO-Board Communication Gap」によると、取締役会メンバーは外部の情報を議論に持ち込む一方で、多くの組織ではサイバーリスク許容度が正式に定義されていない実態が明らかになりました。過去12カ月間で、セキュリティリーダーの42%がサードパーティのセキュリティスコアについて説明を求められた経験があります。
Pulse Security AIのCEOであるMike Armistead氏は、次のように述べています。「この10年間、業界はセキュリティリーダーに対して『取締役会とのコミュニケーションを改善すべきだ』と言い続けてきました。しかし我々のデータが示しているのは、問題はそれよりもさらに手前にあるということです。そもそも設定されたことのない基準に照らして、状況を報告することなどできません」
取締役会向け報告への自信は依然として低い水準
プレゼンテーション後に取締役会が自社のセキュリティプログラムの実態を正確に理解していると強い確信を持っているCISOは、わずか12.5%にとどまります。つまり、サイバーリスクガバナンスを担う人々の大半は不完全な理解のまま業務にあたっており、しかもプレゼンテーションを行う側のリーダーたち自身がそのギャップを自覚しているのです。回答者の大多数は「ある程度自信がある」または「どちらとも言えない」と回答しています。
回答者によれば、重大なセキュリティインシデントの発生は取締役会の信頼を高める一方、セキュリティチームとのテーブルトップ演習は、プレゼンテーションだけでは得られない形でリーダーシップへの信頼を強化するといいます。
回答者の71%が、取締役会または監査委員会向けのプレゼンテーション1サイクルの準備に10時間以上を費やしており、大半は四半期ごとに発表を行っています。各組織では資料作成に3人以上が関与しており、こうした準備作業の分散が、事業リスクやレジリエンス、管理策の有効性について一貫した見解を示すことを難しくしています。脅威・脆弱性分析の自動化、データ集約の自動化、そして調査結果をビジネスへの影響に変換するためのより優れたツールがあれば、こうした作業負担は軽減されるでしょう。
Armistead氏はさらに次のように付け加えています。「根拠となる情報が十数カ所に分散して存在している状態では、事業の全体像を明確に描くことはできません。セキュリティリーダーたちはすでに発言の場を勝ち取っています。今彼らに必要なのは、その土台となる運用基盤です」
ガバナンスの不備が取締役会の監督機能を制限
セキュリティ監督は依然として、測定よりも勘に頼る部分が大きいのが実情です。多くのCISOは取締役会や監査委員会との非公開セッションに参加する機会を持っておらず、サイバーリスクについて率直に議論することが難しくなっています。
昨年、取締役会の半数はサイバーリスクについて「受容する」「軽減する」「移転する」のいずれかを明示的に決定していませんでした。一部のセキュリティリーダーは、個人としての法的責任を問われることへの懸念が、取締役会とのコミュニケーションの取り方に影響していると述べています。
多くの組織では、サイバーリスクを財務的な影響度ではなく定性的なカテゴリーで説明する慣行が依然として残っており、取締役会レベルでのサイバーインシデントのエスカレーション基準があらかじめ定められていないケースも少なくありません。取締役会での議論は、過去の事象の振り返りと将来のサイバーリスクへの備えという2つのテーマの間で、いまだに分かれたままです。
翻訳元: https://www.helpnetsecurity.com/2026/08/10/ciso-board-communication-gap-report/
