「セキュリティ対策は機能しているはず」ではもう通用しない

セキュリティ、リスク、統制のアセスメントは、これまでコンプライアンスのために実施されるのが一般的でした。ツールを導入し、監査に合格し、ワークフローを完了させ、チェックリストの項目を埋める――そうした作業です。しかし取締役会や顧客、規制当局が今求めているのは、もっと厳しい問いへの答えです。「その統制が今この瞬間、実際に機能していると証明できるか」という問いです。

私はCISOたちに、この種の質問をよく投げかけます。すると返ってくるのはたいてい「機能していると思います」といった正直な答えです。それは彼らが不注意だからではありません。統制のチェックの多くは、いまだに歯科検診のような形で行われています。歯科医に「毎日きちんと歯磨きとフロスをしていますか」と聞かれれば、噓をついて「はい」と答えることもできますが、レントゲン写真を一目見れば本当のところがわかってしまいます。

セキュリティも同じ仕組みです。年次監査で分かるのは、監査人にそう伝えた内容、あるいは誰かがチェックしたその日にたまたま真実に見えたことにすぎません。それが実態を正しく反映しているとは限らないのです。

自分たちの統制について「そうだと信じていること」と、「実際に検証できること」との間には、ギャップが存在します。トラブルはまさにこのギャップに潜んでおり、しかも多くのチームが認めたがらないほど、そのギャップは大きいのです。2025年のDellの調査では、IT専門家の69パーセントが、自社の経営層は組織のサイバー事案への備えを過大評価していると回答しています。統制に最も近い立場にいる人々でさえ、上層部への報告担当者が自信過剰だと考えているのです。統制のリアルタイムな証拠がなければ、誰もその「思い込み」を検証できません。

なぜ「ある時点」の証明では通用しないのか

統制とは、記念碑のように動かないものではありません。絶えず変化していく生き物です。2週間の統合作業のために開放したファイアウォールのポートが、8か月後もまだ開いたままということもあります。昨年の審査を通過したベンダーが、今年になって設定を変更しているかもしれません。監査と監査の間の期間中に、新しいシステムが本番稼働を始めることもあります。監査が終わった翌日から統制がずれ始め、それが何か月も続くことすらあり得ます。その場合、CISOが正直に言えるのは「前回のレビューでは問題なかった」ということだけです。

サンプリングベースのアセスメントには頼れない

企業はデジタルトランスフォーメーションによって絶えず変化しています。新たなAIリスクが既存のITリスクの上に積み重なり、エンタープライズの領域そのものも毎年二桁の伸びを見せています。

その領域のごく一部しか調べないサンプリングベースの手法では、CISOにほとんど本当の自信を与えてくれません。それでいてCISOは、顧客への表明保証や規制当局への提出書類、契約上の確約において、会社のセキュリティおよびコンプライアンス態勢に自分の名前でサインするよう求められるプレッシャーにさらされています。自分の署名そのものが保証となる以上、環境のごく一部だけをテストしていては、その署名を裏付けることはできません。高い確信を得るには、すべてを継続的にテストする必要があるのです。

「証明する」ための手段としての継続的な統制モニタリング

継続的な統制モニタリングこそが、進むべき方向です。証拠をカレンダーに沿って事後的に組み立て直すのではなく、統制をライブデータに照らして継続的にテストすることで、監査と監査の間もリスクの全体像を常に最新の状態に保てます。バックミラーを覗き込むのではなく、「今日、自社の環境で何か変化があったか」という問いを起点にするのです。

実務的に言えば、実際にずれが生じやすく、失敗すれば痛手となる領域――アイデンティティとアクセス、1時間単位で変化するクラウド設定、重大な脆弱性の是正までの時間、そして自社データに最も近い場所にいるベンダーの態勢――を監視することを意味します。

これは、チームが既に運用しているGRCシステムを全面的に取り払うことを必ずしも意味しません。企業はGRCの記録システムを構築するために、相当な費用と労力をすでに投じてきました。取り組むべきアップグレードは、その記録システムへのインプットを、手作業・ある時点限定・サンプリングベースのデータから、自動化された継続的かつ包括的な事実データに置き換えることに焦点を当てるべきです。

戦略上の最大の転換点は、システムに対して「監査時点で真実だった情報を保存する」だけでなく、「今日、真実であることを反映する」ことを求めるようになる点にあります。これは単なる製品の購入というより、「機能しているはずだ」という答えはもはや受け入れられない、という意思決定なのです。

それはノイズを増やすだけではないのか

その価値は、どの瞬間においても「何が重要か」「不備が生じた場合に事業がどれだけの損害を被るか」「どこから是正に着手すべきか」を把握できる点にあります。標準化団体もすでにこの方向へと舵を切っています。NISTが2024年にサイバーセキュリティフレームワークを更新した際には、シンプルな前提に基づく新たな「Govern(統治)」機能が追加されました。その前提とは、サイバーセキュリティは財務やレピュテーションと並んでシニアリーダーが検討すべきエンタープライズリスクであり、チェックリストではなく、継続的かつ測定可能な成果に基づいて管理されるべきだ、というものです。

「証明できる」ようになると何が変わるのか

セキュリティ、リスク、コンプライアンスの態勢が常に最新の状態に保たれ、四半期ごとに改善が進んでいくようになれば、分かりやすい成果が現れます。監査が突発的な火消し作業ではなくなり、顧客によるセキュリティレビューが取引の停滞要因にならなくなり、セキュリティリーダーが取締役会での報告を心待ちにするようになる、といった具合です。

しかし、より本質的な変化は見えにくく、それだけに重要です。過去のことしか語れないセキュリティリーダーは、結局のところ歴史家にすぎません。価値はあるものの、常にすでに下された意思決定について報告する立場にとどまるのです。ここはコンプライアンスレポートにはめったに現れない部分です。今日何が変わり、それが何を危険にさらしているのかという、事業のライブな視点を持つことで、セキュリティリーダーは、まだ手を打てる時間が残っているうちにリスクの芽を見つけられる、社内でも数少ない存在になります。

これこそ、目指す価値のあるセキュリティリーダーシップの姿であり、カレンダーに沿った報告をやめる覚悟のあるチームであれば、十分に手の届く目標です。セキュリティはこれまで長らく、費やした努力と、悪い知らせが出なかったことによって評価されてきました。しかし本当の試金石となるのは、いつであっても、証拠を手にした上で、自社の統制が今この瞬間まさに機能していると示せるかどうかです。それこそが真のレジリエンスを生み出し、規制・契約面での立場を強化し、顧客からの信頼を高めるのです。