私たちは長年、最高情報セキュリティ責任者(CISO)に対して、ビジネスとの連携をもっと強めるべきだと言い続けてきました。戦略を理解すべきだ、取締役会の言葉で語るべきだ、事業部門のリーダーと関係を築くべきだ、サイバーリスクをビジネスリスクに翻訳して伝えるべきだ、と。
しかし私は近頃、そもそもCISOという役職が解決するようには設計されていない問題を、私たちがCISOに押し付けているのではないかと強く感じるようになりました。
ビジネスとの連携は、本質的にはコミュニケーションの問題ではありません。それはリーダーシップと組織設計の問題なのです。
そして本気でこの問題を解決するつもりなら、すべてのCISOを「何でも屋の最高責任者」に仕立て上げようとするのはやめるべきです。
CISOに求められるものが多すぎる
現代のCISOには、技術者であり、戦略家であり、リスク管理の経営幹部であり、規制当局対応の責任者であり、取締役会へのアドバイザーであり、危機管理者であり、変革推進の経営幹部であり、さらにはビジネスパートナーであることまで求められています。
しかも、それらすべてを同時に、です。
これは一つの役職に課すにはあまりにも広範な責任です。
問題は、すべてのCISOに幅広いスキルを身につける能力がないということではありません。実際に多くのCISOがそれを成し遂げ、優秀な人材は非常に信頼されるビジネスリーダーへと成長しています。しかし同時に、多くのCISOが苦戦してきましたし、今も苦戦し続けています。
これは構造的な問題なのです。
CISOという役職は依然として技術・情報セキュリティの領域に根ざしたものでありながら、企業全体の意思決定に影響を及ぼすことをますます求められるようになっています。
組織はCISOにサイバーセキュリティの説明責任を負わせながら、直接の権限を持たないビジネス上の意思決定にまで影響力を発揮することを期待しているのです。
ここに本質的な緊張関係が生まれます。
CSOはまったく別の存在
私はかねてから、企業はより上位に位置づけられる最高セキュリティ責任者(CSO)の役職を検討すべきだと主張してきました。
それは単にCISOの肩書を変えるという話ではありません。管理階層をもう一段増やすという話でもありません。まして、CISOの重要性を貶めるための試みでは決してありません。
むしろその正反対です。
CSOは従来のサイバーセキュリティの枠組みの上位に立ち、組織のより広範な保護に責任を持つべき存在です。
サイバーセキュリティはその事業保護ポートフォリオの中でも重要な要素の一つとなりますが、それはデータ保護、事業継続、レジリエンス、そして必要に応じて規制対応といった領域と並び立つものになります。
ここで決定的に重要な違いは、CSOはまず何よりもビジネスリーダーでなければならないという点です。
この役職は、組織が事業を運営し、競争力を維持し、株主、顧客、従業員、そして国家の重要インフラ事業者であれば社会全体に対する責務を果たす能力を守ることを目的としています。
それには従来型のセキュリティ技術者とはまったく異なるプロファイルが必要になります。
マネジメント経験、政治的な判断力、他の経営幹部からの信頼、そして組織がどのように機能し、どのように収益を上げているかについての理解が求められるのです。
そして何よりも、事業内の各部門の利害が避けられず衝突した際に、それらをまとめ上げる権限が必要です。
まさにそこから、連携という取り組みを設計していくことができるのです。
CSOに組織をつなぐ権限を与える
典型的なサイバーセキュリティの問題を考えてみましょう。
セキュリティ部門が重大な脆弱性を発見します。テクノロジー部門はそれを修正しなければなりません。オペレーション部門は業務の中断を望みません。事業部門は収益を守りたいと考えます。法務部門は規制上の結果を懸念します。リスク管理部門は脆弱性の記録を求めます。財務部門はコストを把握したいと考えます。
誰もがこの問題に関わっています。
しかし、これらすべての視点を調整する権限を持つ人は、必ずしも存在しません。
CISOはセキュリティ上の問題を説明できます。CIOは技術的な影響を説明できます。事業部門の責任者は業務上の影響を説明できます。
しかし、保護に関する全体的な意思決定を誰が担うのでしょうか。
ここにこそ、CSOが価値を発揮できる場面があります。
CSOは、これらの視点をまとめ上げ、組織全体の利益を反映した意思決定を導く権限を持つべきです。
これは、CISOに対して「セキュリティチームの立場を全員に納得させろ」と求めることとは根本的に異なります。
セキュリティのサイロをもう一つ作るという話ではない
当然出てくる反論は、CISOの上にCSOを置くことは組織の階層をもう一段増やすだけではないか、というものです。確かに設計を誤れば、そうなりかねません。
だからこそ、両者の役割の違いが重要になります。
CSOはサイバーセキュリティ部門の新たなトップになるべきではありません。
CISOは、アーキテクチャ、エンジニアリング、セキュリティオペレーション、ID管理、脆弱性管理をはじめ、技術基盤を守るために必要なその他の専門領域を含む、技術的なサイバーセキュリティ能力に対する責任を引き続き担うべきです。
CSOの役割はそれとは異なります。
ビジネスの優先事項という文脈の中で、それらすべての能力を連携させて機能させるための、企業レベルのリーダーシップを提供することです。
私がこれまで提唱してきたモデルでは、CISOはCSOに報告し、必要に応じてCIOとも適切な関係を築くことになります。
これは強力な組み合わせを生み出します。
CSOはトップダウンで部門横断的な影響力を提供し、CISOは技術的な深さと実行力を提供します。
どちらの役職も相手のふりをする必要はなく、両者が協力することで、現行モデルではしばしば実現が難しかったもの――事業保護の取り組みに対する経営幹部としての当事者意識と、本物の技術的専門性の両立――を生み出せるのです。
CSOは「どのように」と「誰が」を担うべき
この20年余りの間に、サイバーセキュリティ業界は「組織が何をすべきか」を説明する能力をますます洗練させてきました。
フレームワーク、標準、統制、アーキテクチャ、技術、規制要件――サイバー防御の観点から「何を」すべきかについてのアドバイスに不足はありません。
それでも組織は「どのように」「誰が」やるのかという点で苦戦し続けています。
- 誰が意思決定を下すのか
- 誰がリスクを所有するのか
- 誰が変わらなければならないのか
- セキュリティと事業運営上の優先事項が衝突したとき、誰がその対立を解消するのか
- 事業戦略が次に変わったとき、誰が変革を存続させるのか
- 抵抗が必ず生じたとき、誰が組織を前進させ続けるのか
これらはリーダーシップに関わる問いです。
そして、これらはまさに、適切に構成されたCSOという役職が答えられるべき問いなのです。
取締役会にも果たすべき役割がある
このモデルには、取締役会にとっても重要な意味合いがあります。
取締役会は、サイバーセキュリティを組織の中に埋もれたCISOに単純に委任できる問題として扱うのをやめるべきです。
取締役会の責務は、事業を守る責任を経営幹部チームに問うことにあります。
それは、役割・責任・成果について明確さを求めることを意味します。最終的に誰が事業保護の責任を負うのかを問うことを意味します。そして、その人物が行動を起こすのに十分な権限を持てるよう、経営体制を整えることを意味します。
CSOは、組織の保護戦略を調整し実行する要となる経営幹部となるべきです。
これはCISOを成功へと解き放つことにもなり得る
あまり語られることのない、もう一つの利点があります。
真のCSOという役職を設けることは、CISOをより効果的にする可能性があるのです。
現在、多くのCISOは、本来の専門領域の外で活動しようとするために膨大な時間を費やしています。
取締役会の政治を乗りこなし、ビジネスの優先順位を交渉し、規制当局の期待に対応し、組織の所有権をめぐって議論し、経営陣の合意形成に奔走しています。
これらの活動はいずれも重要ですが、その代償として、サイバーセキュリティに今なお不可欠な技術的・運用的な規律がおろそかになりかねません。
CSOが企業レベルの責任の多くを引き受けることで、CISOは本来の目的意識を取り戻せるようになります。
これはCISOを狭い技術サイロに逆戻りさせることを意味しません。この役職に筋の通った任務を与えるということなのです。
CISOは、サイバーセキュリティを機能させることに責任を持つようになります。
CSOは、サイバーセキュリティ――そしてより広い保護の取り組み全般――がビジネスのために機能することを保証する責任を持つようになります。
これは、はるかに健全な役割分担です。
サイバーセキュリティのリーダーシップの未来は、CISOだけの話ではなくなるかもしれない
サイバーセキュリティ業界は、CISOという役職の進化にあまりにも焦点を当てすぎてきました。
私たちは報告ライン、予算、取締役会へのアクセス、報酬、独立性、技術系か戦略系かといったスキルの違いについて議論を重ねてきました。
こうした議論にはどれも価値がありますが、私たちはもしかすると問いを間違えているのかもしれません。
問うべきは「CISOをどうすればより優れたビジネス幹部にできるか」ではないのかもしれません。
本当に問うべきは「事業自らを守るために、実際にはどのような経営体制が必要なのか」なのかもしれません。
そう考えると、私たちは自然とCSOという結論にたどり着きます。呼び名は最高信頼責任者(Chief Trust Officer)でも最高レジリエンス責任者(Chief Resilience Officer)でも構いませんが、行き着く先は結局同じです。
信頼される上級幹部であり、経営陣の一員として明確に存在し、サイバーセキュリティと事業保護のその他の側面をまとめる責任を負う人物です。
CEO、CIO、CFO、COO、法務顧問、そして各事業部門のリーダーと対等な立場で渡り合えるだけの十分な権限と個人的な存在感を備えた人物です。
リスクを意思決定へ、そして意思決定を実行へと翻訳できる人物です。
そして、事業保護を実現する責任を組織に問い続けられる人物です。
連携はスキルではなく、構造の問題である
サイバーセキュリティとビジネスの連携は、CISOにもっと上手にコミュニケーションを取れと求めることで実現するものではありません。
正しいリーダーシップの構造を作ることによって実現するのです。
- 明確な所有権を確立する
- その所有権に十分な権限を与える
- 組織上は分離させないまま、企業レベルの保護と技術的な実行を切り分ける
- CISOにサイバーセキュリティの技術的な実行に対する責任を持たせる
- そしてCSOに、その実行を事業のニーズへと結びつける権限を与える
目的は、セキュリティに関する階層をもう一つ作ることではありません。セキュリティが組織の運営や意思決定のあり方そのものの一部となる、リーダーシップとガバナンスの仕組みを作ることです。
なぜなら、突き詰めればサイバーセキュリティはテクノロジーを守るために存在するのではなく、ビジネスを守るために存在するからです。
そして、それを本気で信じるのであれば、そろそろ私たちの組織構造にもその考えを反映させるべき時なのかもしれません。
