企業は統合的なリスク管理を強化すべき、サイバー攻撃とAI悪用の詐欺に対抗するため

Dive Brief:

• 多くの組織でリスク管理とガバナンスのプログラムに抜け漏れがあり、サイバー攻撃などのインシデントに対して無防備な状態となっています。規制面や評判面での影響も避けられない、とアドバイザリー・監査会社のGrant Thorntonが火曜日に公表した報告書で警告しました。
• 経営幹部の3分の2が、全社的リスク管理を最優先事項にしようとしていると回答しました。しかし、自社が一貫した方法でリスク管理に取り組んでいると答えたのは半数に届きませんでした。
• 報告書は、組織がリスクの全体像を明確に把握し、対応計画の信頼性を保つための方策をいくつか提言しています。

Dive Insight:

報告書のために聞き取りを行った1,100人の経営幹部のうち、約4分の3が、サイバーセキュリティインシデントは今後2年間の自社の業績にとって最大級のリスクの一つだと答えました。ところが、高度なサイバー攻撃を受けた際にそれを見抜く自社の能力に強い自信を持つ幹部は、ようやく半数程度にとどまりました。

Grant Thorntonによると、組織のサイバーレジリエンスを最も阻害しているのはデータの品質と可視性で、回答者の65%が懸念として挙げました。ほかの主な課題は、技術的な制約(62%)、ネットワークの複雑さ(62%)、サプライチェーンへの依存(58%)です。

Grant Thorntonは、サプライヤーが「防御能力の重要な供給源になりつつある」と指摘します。企業はサイバーセキュリティ人材の採用に苦戦しており、サードパーティのセキュリティ企業がその穴を埋めている状況です。同社は報告書で「調査回答者のほぼすべて(96%)が、サイバー脅威の検知と対応において、何らかのかたちで外部委託の機能を利用していると答えた」と述べています。

その一方で、ベンダーと社内システムの連携はまちまちです。リスクにさらされることへの懸念の表れとも考えられますが、顧客とベンダーの関係が一部でまだ成熟していないことを示している可能性もあります。サードパーティのセキュリティプロバイダーが「自動化や共通ツールを用いて社内プロセスと統合されている」と答えた経営幹部は、4分の1にとどまりました。

AIは組織のリスク評価において大きな比重を占めています。しかし、多くの企業では、拡大を続けるAI導入を適切に監督するためのプロセスや技術がまだ整っていません。Grant Thorntonによれば、「データに基づくモニタリングを備えた、高度で統合されたAIガバナンス」があると答えた経営幹部は26%でした。また、回答者の6割近くが、自社でのAI利用と、それを統制する能力の限界が「将来のリスクや規制当局による監視の主な要因」になっていると述べました。

AIを悪用した詐欺も事業リスクとして拡大しており、55%の経営幹部が主要な詐欺の懸念として挙げています。ただし、従来型のフィッシングやその他のサイバー手口による詐欺のほうが、より多くの回答者の懸念材料となっています。

可視性のギャップを埋め、新しく脆弱性を抱えかねない技術への監督を強化するには、企業は統一された「リスクインテリジェンス」の視点を持つ必要があるとGrant Thorntonは述べています。

同社の報告書は次のように述べています。「サイバーセキュリティ、コンプライアンス、フォレンジック、内部監査の各部門は、リスクとデータについて共通の見方を持つ必要があります。共通の定義、標準化されたデータ、明確な責任の所在を確立することで、経営陣はさまざまなリスクのつながりを把握し、その理解を戦略や投資の指針とすることができます」

Grant Thorntonはさらに、自動化されたモニタリングにAIを活用するよう企業に促し、「定期的なレビューでは、AIを駆使した脅威がもたらす課題に対応するには遅すぎる」と述べています。