私が2015年からサイバーセキュリティ・マネジメントについて定期的に執筆を始めた頃、環境は現在とまったく異なっていました。
クラウドコンピューティングは、企業のテクノロジーを塗り替えている最中でした。ランサムウェアは、今日のような産業化した脅威にはなっていませんでした。人工知能（AI）が役員会の議題になることもありませんでした。ゼロトラストはまだ主流の技術用語ではなく、量子コンピューティングは企業のリスクの視野にほとんど入っていませんでした。
サイバーセキュリティ自体の位置づけも異なっていました。CISOの役割は今ほど確立されておらず、取締役会の関与にはばらつきがあり、規制も今ほど広範ではなく、セキュリティ予算も総じて小規模でした。
それ以来、多くのことが変わりました。
しかし、10年以上前に議論していたマネジメント上の課題を振り返ると、居心地の悪い疑問が浮かびます。
なぜ、その多くが今なお議論され続けているのでしょうか。
テクノロジーは大きく進歩しました。投資は増え、規制も拡大しました。サイバーセキュリティは、経営陣や取締役会から前例のないほどの注目を集めています。
それでも組織は、ガバナンス、説明責任、組織のサイロ化、短期志向、そして実行に苦しんでいます。
2015年にマネジメントの問題だったものは、今日もマネジメントの問題のままです。
最も難しいのは「何をするか」ではなかった
私の初期の研究の中心にあった見方の一つは、サイバーセキュリティの「何を」はすでにかなりよく理解されている、というものでした。
標準、管理策のフレームワーク、グッドプラクティスは何年も前から存在していました。組織は弱点を特定し、管理策を定め、是正計画を作成できました。優れたサイバーセキュリティがどのようなものかは、わかっていたのです。
難しい問いは、常に「どのように」と「誰が」でした。
優先事項が対立する複雑な組織全体で、それらの管理策をどう実装するのか。数年にわたる変革をどう持続させるのか。変更の責任は誰が負うのか。それを実現させる権限は誰にあるのか。そして、進捗が止まったとき、誰が説明責任を負い続けるのか。
これらの問いには、セキュリティのフレームワークや製品では答えられません。ガバナンス、マネジメント、リーダーシップの問いなのです。
10年以上を経た今、この違いはいっそう重要になっています。
サイバーセキュリティは進歩したが、マネジメントは遅れている
サイバーセキュリティの能力が向上したことは間違いありません。
検知と対応は成熟しました。クラウドセキュリティは急速に発展しました。アイデンティティ管理は、中核的な防御領域になりました。セキュリティ運用の自動化は進み、AIは攻撃と防御の双方を変えつつあります。
大企業は現在、幅広いテクノロジー群や専門プロバイダー、アドバイザーに支えられた大規模なセキュリティ部門を運営しています。
しかし、高度化したからといって、マネジメントの根本的な弱点がなくなったわけではありません。
CISOは、自らに解決する権限のない問題について、依然として説明責任を負わされることがあります。テクノロジー戦略とセキュリティ戦略は、別々の軌道で進むことがあります。事業部門の幹部は、サイバーセキュリティを自分たちが所有するプロセスやアプリケーション、活動の一側面ではなく、CISOが提供するサービスと見なし続けることがあります。
ガバナンスは、実効性のある意思決定を伴わないまま、膨大な報告を生み出すことがあります。変革プログラムは、正しい問題を特定しても、必ずしもそれを解決できるとは限りません。
言葉は進化しました。しかし、その根底にあるマネジメントの力学は、多くの場合変わっていません。
CISOの報告ラインをめぐる議論は的外れ
CISOがどこに報告すべきかをめぐる終わりのない議論は、この問題をよく表しています。
組織は何十年にもわたり、CISOがCIO、CEO、COO、CRO、あるいは他の上級幹部のいずれに報告すべきかを議論してきました。
特にCIOへの報告ラインは、テクノロジーの提供とサイバーセキュリティの防御との間に利益相反があると見られるため、批判を集めてきました。
しかし、数十年の議論を重ねても誰もが納得する答えが出ていないのなら、本当の問題は別のところにあるのかもしれません。
より根本的な問いは、おそらくこうです。組織はCISOに何を期待しているのか。
CISOを主にテクノロジー領域のセキュリティリーダーと見なす組織もあります。独立した統制機能として位置づける組織もあります。CISOにレジリエンスの調整役を期待する組織もあれば、事業を守る戦略的な役割と見る組織も増えています。
これらはまったく異なる仕事です。
組織がCISOの目的、権限、説明責任を明確にしない限り、報告ラインをめぐる議論は続くでしょう。組織構造に、役割そのものの曖昧さを埋め合わせることが求められているからです。
CISOを組織図上で動かしても、その曖昧さは解消できません。
CIOとCISOの緊張は、必ずしも対立ではない
CIOとCISOの間にあるとされる対立については、現実を正しく見直す必要があります。
両者が直面するプレッシャーが異なるのは当然です。CIOは、コスト、提供、可用性、イノベーション、変革のバランスを取ります。CISOは、弱点に異議を唱え、防御とレジリエンスが十分な水準にあることを確保しなければなりません。
そこには緊張が生まれます。
しかし、緊張は建設的になり得ますし、対立に発展させる必要もありません。
また、CISOをCIO組織の外に出したところで、相反する優先事項がなくなるわけでもありません。
現代のCIOであれば誰でも、サイバーセキュリティがアーキテクチャ、クラウド、アイデンティティ、DevOps、デジタルトランスフォーメーション、AI、レジリエンスと切り離せないことを認識すべきです。CIOとCISOは、正式な報告構造にかかわらず協力しなければなりません。
組織が本当に必要としているのは、正当な優先事項同士が競合したときに、意見の相違を解消できるガバナンスモデルです。
それはリーダーシップとマネジメントの要件であり、構造的な分離だけで解決できるものではありません。
サイバーセキュリティは、資金不足だけでなく「マネジメント不足」かもしれない
セキュリティ支出も、同じことを物語っています。
サイバーセキュリティへの投資は過去10年で大幅に増え、今もなお、より多くのリソースを必要とする組織があることは間違いありません。
しかし、何年も支出を増やしても弱点が残り続けているのであれば、経営陣は資金が常に問題の中心なのかを問うべきです。
お金で、テクノロジーも人材も専門知識も買えます。変革の資金にも、是正の加速にも充てられます。
一方で、お金だけでは、戦略的優先事項の確立、明確な説明責任の創出、組織内政治の解消、協力の強制、変革プログラムの目標達成の保証まではできません。
これらの成果もまた、リーダーシップとマネジメントにかかっています。
サイバーセキュリティは資金不足であることもありますが、実際にはマネジメント不足でもある場合が少なくありません。
この違いが重要なのは、経営層の議論を「あとどれだけ支出する必要があるのか」から「すでに行っている投資を、持続可能な能力に変えられているのか」へと変えるからです。
コンプライアンスは必要だが、マネジメントの代わりにはならない
規制や認証制度の拡大は、確かな効果をもたらしてきました。最低限の基準を定め、説明責任を課し、サイバーセキュリティを経営課題に押し上げることができます。
しかし、コンプライアンスには本質的な限界があります。
組織は、構造的な弱点を数多く抱えたまま、形式的な要件を満たすことができます。監査指摘は、その背後にあるマネジメントの問題に対処しないまま、クローズできます。認証は、プロセスが存在することは示せても、重大なインシデントの際に組織が効果的に行動できることまでは証明しません。
持続可能な能力を築くことよりも、活動を示すことが重視されるようになると、コンプライアンスは、防御を実際に提供することなく安心感だけを与えてしまう危険があります。
取締役会の認識は第一歩にすぎなかった
過去10年で、サイバーセキュリティは、業界が長年求めてきたことも成し遂げました。取締役会の議題に上るようになったのです。
これは重要なことですが、取締役会の注目が自動的に実効性のあるガバナンスを生むわけではありません。
多くの組織は完全にテクノロジーに依存しており、その取締役会はすでにサイバー防御とレジリエンスの重要性を理解しています。
CISOが取締役会にサイバーセキュリティの重要性と投資の必要性を納得させなければならない、という従来の議論は、ますます時代遅れになっています。
より重要なのは、取締役会がその次に何をするかです。
取締役会は、戦略的優先事項が明確か、経営陣の説明責任が機能しているか、変革が前進しているか、投資が持続可能な能力を生み出しているかを問うべきです。
レジリエンスに関する前提が検証されているかどうかも、理解する必要があります。
取締役会の認識は必要でした。今、より重要なのは取締役会の責任です。
サイバーセキュリティの「失敗のスパイラル」を断ち切る
こうしたマネジメント上の弱点は、サイバーセキュリティの変革がなぜ繰り返し勢いを失うのかを説明する手がかりになります。
深刻なインシデントが起きると、切迫感が生まれます。切迫感が予算を引き出します。是正が加速し、目に見える進捗が生まれます。
やがて、プレッシャーは薄れます。経営陣の関心は別の事柄に移ります。長期的な構造問題は、優先順位をつけにくくなります。変革は減速します。そこで別のインシデントが起き、このプロセスが再び始まります。
私はこれをサイバーセキュリティの失敗のスパイラルと呼んできました。
組織はこのサイクルのたびに多額の資金を投じ、技術面では確かな改善を遂げられます。しかし、そもそも弱点を生み出したマネジメント上の条件は、手つかずのまま残ります。
説明責任の欠如は残ります。ガバナンスは難しい意思決定に苦戦します。優先事項は変わります。企業内や地域ごとのサイロが実行を妨げます。短期的なプレッシャーが、長期的な変革を押しのけます。
このサイクルを断ち切るには、マネジメントの規律と戦略の継続性が必要です。新たなセキュリティプログラムを一つ増やすだけでは足りません。
サイバーセキュリティをCISOだけの問題にしてはならない
おそらく最も重要な教訓は、組織がサイバーセキュリティを主にCISOの責任として扱い続ける限り、持続可能なものにはなり得ないということです。
CISOには、専門知識、戦略的な方向性、調整、そして問題提起を担う不可欠な役割があります。
しかし、実行するのは組織です。
CIOは、テクノロジーのアーキテクチャとサービスが安全でレジリエントであることを確保する必要があります。事業部門の幹部は、自らが所有するプロセスやアプリケーションについて説明責任を受け入れる必要があります。コーポレート部門は、その権限に伴うセキュリティ上の責任を果たさなければなりません。経営陣は、競合する優先事項を解決しなければなりません。取締役会は、監督と戦略の継続性を担わなければなりません。
CISOは、これらの責任を肩代わりできません。
原則は明快であるべきです。説明責任は、権限に従わなければなりません。
目標は、すべての幹部をサイバーセキュリティの専門家にすることではありません。サイバーセキュリティを、通常のマネジメントの一部にすることです。
テクノロジーは変わる。マネジメントの原則は変わらない
新たなテクノロジーの波は、これからも訪れ続けます。
AIは、ビジネスの慣行を変え続けるでしょう。量子コンピューティングは、暗号の大規模な転換を迫る可能性があります。クラウドのアーキテクチャは進化し続けます。デジタルエコシステムは、さらに相互接続が進むでしょう。
セキュリティ業界は、新しい製品やフレームワーク、方法論で応えるでしょう。
しかし組織に必要なのは、そうしたテクノロジーのサイクルを乗り越えられるマネジメントの原則です。明確な優先事項。権限と一致した説明責任。意見の相違を意思決定に変えられるガバナンス。CIOとCISOの強固な連携。事業部門による真の当事者意識。取締役会による継続的な監督。そして、規律ある実行です。
ここで、冒頭の問いに戻ります。なぜ2015年のサイバーセキュリティに関する見方が、今なお現代的に響くのでしょうか。
それは、サイバーセキュリティの最も難しい問題の多くが、もともと主としてテクノロジーの問題ではなかったからです。
それらは、リーダーシップ、説明責任、ガバナンス、組織内政治、短期志向、そして実行に関わる問題です。パッチを当てることも、外部に委託することも、CISOを別の報告ラインに移すだけで解決することもできません。
マネジメントしなければならないのです。
サイバーセキュリティは、事業を守る中核的な能力になりました。それは、テクノロジーに支えられたマネジメント上の課題であり、マネジメントが何とか対応しなければならないテクノロジーの課題ではありません。
