CISOの役割は2029年、どのような姿になるのか

Wolfgang Goerlich氏はキャリアの大半をセキュリティ分野に捧げ、過去7年間はCISOを務めてきました。

長年セキュリティ幹部を務めてきた多くの人々と同様、Goerlich氏もこの職業における数々の変化を目の当たりにしてきました。そして、さらなる変化に備えています。

「今後、CISOの役割はイノベーションのペースメーカーへと拡大していくと見ています。取締役会や経営会議の場に加わり、AIを含む技術についてどのように賢明で計算されたリスクを取るべきかを助言する立場になるでしょう」と、現在は公共部門のCISOを務めながらIANS Researchの教員でもあるGoerlich氏は語ります。

Goerlich氏は、1995年に誕生して以来絶えず進化を続けてきたこの役職にとって、これが次なるステップだと見ています。

「かつては『何でも駄目と言う部署』であり、それが『スピードを落とそう』になり、今では『リスクを理解した上で、より賢く取ろう』へと変わってきました」と同氏は付け加えます。「これほど胸躍ることがあるでしょうか。『もっとリスクを取りたいのですか? それならお手伝いしましょう。より賢い意思決定ができるよう支援します』と言える立場になれるのですから」

こうした見方をしているのはGoerlich氏だけではありません。他の専門家たちも同様に、今後数年のうちに一般的なCISOに割り当てられる責務は変化していくと考えています。

変化が起きるという点では広く意見が一致しているものの、CISOの役割と責任がどのように変わっていくかという予測は多岐にわたります。多くの組織が戦略計画で採用する伝統的な3年先の見通しを反映するように、セキュリティ幹部たちは2029年までにCISOという職位がたどりうるさまざまな可能性を思い描いています。とはいえ、明日のCISOがより速いペースで働き、より多くの脅威に対処し、今日以上に大きな戦略的責任を負うことになるという点では、誰もが一致しています。

調査結果もこの見方を裏付けています。

「CISOの役割はまさに今、リアルタイムで再定義されつつあります」と、CISOの役割の進化に関する2026年のKPMGレポートは述べています。「デジタルプラットフォーム、人工知能(AI)、サードパーティのエコシステムが変化のペースを加速させる中、セキュリティリーダーには対応速度を確保しつつ、企業レベルのリスクに対する説明責任を負うことがますます求められています」

同レポートはさらにこう続けています。「現代のCISOは、計り知れない技術的機会と前例のないリスクの交差点で活動しています。これはCISOという役割そのものの根本的な進化を必要としています」

「戦略的ファシリテーター」としてのCISO

KPMGは今後の展望について、未来のCISOは「純粋な技術者から、ビジネスリーダーへ、そして何より複雑な脅威をビジネスの文脈に翻訳できるストーリーテラーへと進化しなければならない」と述べています。彼らは「安全なイノベーションを推進する戦略的ファシリテーターとなり、その使命は信頼できる安全な形でビジネスがスピードを持って前進できるよう支援することだ」としています。

すでに一部のCISOは、安全なイノベーションのための戦略的ファシリテーターとしての役割を果たしており、研究者や現役のセキュリティ責任者たちは、今後さらに多くのCISOがこうした業務を担うようになると予想しています。

Goerlich氏自身もすでにこの変化を経験しており、アーキテクチャやエンジニアリングの専門家、そしてセキュリティ担当者を含むイノベーションチームの立ち上げを任されています。

さらに、IANSでの調査を通じて、イノベーションを主導、あるいは共同で主導している他のCISOたちとも接点を持ってきました。CEOや取締役会は、セキュリティ部門がこうしたリーダーシップの役割を担うことがイノベーションを妨げるどころか、むしろ加速させると認識するようになってきていると同氏は言います。なぜなら「セキュリティはリスクの取り方を心得ている」からです。

実際、Goerlich氏は2029年までに、より多くのCISOがサイバーリスクに加えて企業リスク全般にも責任を持つようになると考えています。

とはいえ、Goerlich氏はこれが全組織に当てはまる普遍的な真実になるとは考えていません。2029年においても、現在と同様にCISOの役割は組織によって異なり、リスクに重点を置く組織もあれば、より戦術的な組織もあると同氏は言います。

セキュリティリーダーたちは「自らの気質やスキル、経歴に合った組織を自ら選び取っていくことになるでしょう」と同氏は述べています。

「ビジネス戦略のイネーブラー」

Noma SecurityのCISOであるDiana Kelley氏も、今後起こる変化について同様の見方をしています。「最大の変化は、CISOが防御役やコンプライアンス担当者としての立場から、ビジネス戦略のイネーブラーへと移行しつつあることです」

同氏はさらにこう付け加えます。「ビジネスをどう支援するか、事業が何をしようとしているのかを戦略的に理解し、事業の回復力をどう高めるかということが重要になってきています。これはすでに起きていることです。すでに一部のCISOは戦略的な信頼担当役員、戦略的リスクパートナーへと移行しています」

一方でKelley氏は、主にAIの影響により、CISOは今後の職務に向けて技術的な腕をさらに磨く必要があるとも考えています。「CISO自身がキーボードに手を置いて作業する必要があるという意味ではありません。ただ、組織が技術をどう活用しているかを技術的・アーキテクチャ的に問いただし、『これなら実行時にガバナンスと制御が効かせられる』と言えるようにする必要があるのです」と同氏は説明します。

実際、Kelley氏は将来的に組織内に2種類の異なるセキュリティリーダーが存在するようになるかもしれないと示唆しています。一方は防御力の強化に注力し、もう一方はリスクとレジリエンスに注力するという具合です。

リスクと信頼への拡大

長年セキュリティ業界の幹部を務めてきたEdna Conway氏も、CISOの役割は今後さらに変容していくと考えています。

かつてCISOを部下に持つCSOを務めていたConway氏は、CISOは情報セキュリティリスクを超えて企業リスクにまで責任範囲を広げるべきだと考えています。

そのため同氏は、肩書きも最高セキュリティ・信頼責任者、あるいは最高セキュリティ・リスク責任者にすべきだと考えています。この点について同氏には確たる知見があります。実際、2020年から2023年までMicrosoftのAzureインフラストラクチャ部門で最高セキュリティ・リスク責任者を務めていたからです。

ただし、現在EMC AdvisorsのCEOであり、TPO Groupの最高執行・リスク責任者も務めるConway氏は、こうした変化のすべてが2029年までに実現するかどうかは確信が持てないとしています。

CISOの進化を促す「ダイナミックな環境」

iCOUNTERのCISOであるAli Waezzadah氏は、進化を続けるITインフラから地政学、経済に至るまで、今日の「ダイナミックな環境」がこの役職の次なる進化を後押ししていると見ています。

より具体的には、チームの管理、技術のセキュリティ確保、事業の方向性や戦略の支援、そして規制・セキュリティ・ガバナンス基準へのコンプライアンス確保といった業務が変化しつつ(そして増加しつつ)あると同氏は見ています。

セキュリティ従事者の経歴や経験も変化していると同氏は主張します。新しい技術はますます速いペースで導入されるようになっています。攻撃者は絶えず新たな手口を開発しています。規制環境は流動的です。そして事業自体もより短い間隔で試行錯誤を重ね、戦略を見直し続けています。「こうした要因こそが、CISOに適応を迫ることになるのです」と同氏は付け加えます。

こうした変化はすべて、CISOの日々の行動と、その肩書きに付随する職務範囲の両方を絶えず作り変えています。それが結果として、セキュリティリーダーにこれまで以上の俊敏さを求めることになっているとWaezzadah氏は言います。

「2029年までに、CISOが注意を払うべき事柄はさらに増えているでしょう」と同氏は予測します。「CISOが何を、どのように守るべきかは急速に変化しており、より一層ダイナミックな状況に備えておく必要があります。より機敏かつ柔軟である必要があるのです」

「事業成果の戦略的アーキテクト」

もちろん、変化はCISOにとって目新しいものではありません。この数十年、彼らの職務権限は拡大の一途をたどってきたと、セキュリティ技術企業TorqのフィールドCISOを務めるJohn White氏は指摘します。

今後数年間、CISOには稲妻のようなスピードで動ける体制を構築・運営することが求められるようになります。これは組織とその敵対者の双方がAIを活用するようになったことの帰結だとWhite氏は言います。そのためにはCISOは新しいタイプのセキュリティ部門、すなわちエージェントが実行を担い、人間の従業員が成果の定義と監督を担う組織を構築・運営しなければなりません。

「私たちが慣れ親しんできた従来型のセキュリティモデルは、目前に迫る事態にはもはや通用しません。CISOの役割は、より機敏でプロダクト志向の役割へと進化し、リスクに応じて迅速に横断的なチームをまとめ上げ、対応策を作り上げられる人物へと変わっていくでしょう」と同氏は述べ、そのためにはCISOに強力なリスクスキルとビジネスセンスが求められると付け加えます。

あるオンライン投稿の中で、同氏は次のように記しています。「近い将来のCISOは、最高技術責任者というよりも、事業成果の戦略的アーキテクトに近い存在になるでしょう。リスクと機会の双方に応じて目標とする運用モデルを再構想する、人間と機械のチームを設計する役割です」

オーケストレーターとしてのCISO

セキュリティサービス企業CobaltのCISOであるAndrew Obadiaru氏も、「2029年までにCISOは技術リーダーというよりも、さらに一層ビジネスリーダーとしての性格を強めていくだろう」と考えています。

「セキュリティは、組織がどれだけ迅速にリスクを特定・検証・低減できるかによって、ますます評価されるようになるでしょう」と同氏は言います。「CISOは、組織がAIを安全に導入できるようにし、ソフトウェアサプライチェーンのリスクを管理し、攻撃者がマシン並みの速度で活動する環境の中で、組織が自らのセキュリティ態勢を継続的に検証できるようにする責任を負うことになります」

その結果、Obadiaru氏は、CISOの役割が「セキュリティ技術を所有することではなく、エンジニアリング、IT、プロダクト、法務、調達、そして経営陣を横断してセキュリティをオーケストレーションすること」に重点を移していくと見ています。

同氏は今後、この役割において3つの優先事項が主流になると予想しています。すなわち、評価に頼るのではなく組織のエクスポージャーを継続的に検証すること、企業全体でAIが安全に導入されるようにすること、そして修復対応を加速させることです。

CISOにはより迅速な行動も求められるようになります。「その結果、CISOは個々の技術的な発見事項を精査する時間を減らし、その分、自動化された意思決定プロセスや、レジリエントなエンジニアリング慣行、そして組織がマシン並みの速度で安全に対応できるガバナンスモデルの構築により多くの時間を割くようになるでしょう」とObadiaru氏は述べています。

そして、彼らは自らの運用モデルも変えていかなければなりません。「セキュリティとは、常に不確実性を管理することでした。変わりつつあるのは、不確実性が生じる速度です」と同氏は言います。「AIは脆弱性の発見、ソフトウェア開発、そして攻撃者による技術革新を同時に加速させています。つまりCISOは、セキュリティプログラムを管理する立場から、適応型のセキュリティシステムを管理する立場へと進化しなければならないのです」

とはいえ、根本的な使命は変わらないと同氏は考えています。

「CISOの責務は、リスクを理解し、それを効果的に伝え、事業が的確な意思決定を下せるよう支援することを通じて、組織の事業継続能力を守ることに変わりありません」と同氏は付け加えます。「技術は進化しますが、リーダーシップ、信頼、健全な判断力、そして明確なコミュニケーションという要件は、これからも変わらず求められ続けます」