リスクと報酬:AIがCISOの役割をどう変えているか

ISC2 Strategic Congress 2026(デンバー)— CISOの役割はAIを軸に変わりつつあります。セキュリティ責任者には、AIで事業の競争力を高める支援をしながら、同じ技術を活用してサイバーリスクを管理することも求められるようになっています。

この二つの役割を同時に果たすには、月単位で変化する技術に遅れず対応し続ける必要があります。NvidiaでサイバーセキュリティポリシーおよびストラテジックエンゲージメントのヘッドをMark Weatherford氏は、今週開かれたISC2 Strategic Congress 2026でこう語りました。

求められるスピード

「今、最大の課題はスピードです」。Weatherford氏は、AI時代に進化するCISOの役割をテーマにしたカンファレンスのセッションでこう述べました。「技術の変化があまりに速く、私たちがペースを保つのは本当に難しい状況です」

同氏によると、この変化は日常的な業務にも表れています。たとえば、ペネトレーションテストは、かつては年4回で十分とされていました。しかし今は、24時間体制でテストしていなければ、おそらく不十分だといいます。

Weatherford氏は、オバマ政権下で国土安全保障省(DHS)のサイバーセキュリティ担当次官補代理を務めたほか、コロラド州とカリフォルニア州で州の最高情報セキュリティ責任者(CISO)を歴任しました。そのほか、北米電力信頼度協議会(NERC)の最高セキュリティ責任者や、Booking Holdingsのセキュリティリーダーも務めています。

Weatherford氏は、FOMO(取り残される恐怖)が背景にあり、多くの組織が事業面での十分な精査をせず、投資からどのような価値を得られるかも理解しないままAIを導入していると指摘しました。急いで投資することが理にかなう場面は多いものの、AI導入の根拠が明確とは言えないケースもあるといいます。

「否定による指揮」

一方でCISOには、わずかでもリスクがあれば「ノー」を既定の答えにしてしまう逆の傾向がよく見られます。Weatherford氏は、海軍の「command by negation(否定による指揮)」という考え方を挙げました。上官が止めない限り、部下が全体の目標を達成するために自律的に行動するというものです。

同氏は、サイバーセキュリティのリーダーも同じように、自社のリスク許容度に合わせたうえで、自らより多くのリスクを引き受ける姿勢が必要だと主張しました。「好奇心を持たなければなりません。快適な領域から踏み出す覚悟が必要です」と語りました。

Weatherford氏はCISOに対し、AIが事業とセキュリティの変革にどう役立つかを常に考え、自らの役割をより高める機会を探すよう促しました。評判や過去の実績だけで将来を乗り切れると考えるCISOは、自らの可能性を狭めていると警告しています。

「好奇心を持ち、創造的になり、学び、そして学び直す意欲を持ってください」とWeatherford氏は述べ、AIに追いつく方法の一つとして、毎週一つ新しいテーマを学ぶことを挙げました。

Weatherford氏によれば、AIの活用が遅れることへの不安が高まる一方で、適切な統制を考慮せず、関連するリスクを十分に理解しないまま、組織がAIの導入を急ぎすぎることへの懸念も強まっています。取締役会がリスクを理解し、誰が各リスクを負うのかを把握できるようにすることは、CISOの役割です。特に、他の経営幹部によるAI導入がリスクを生む場合は重要になります。

Weatherford氏は、こうした率直な物言いが時にキャリアを制約しかねないことを認めました。ただ、CISOは自分の判断ではない決定について責任を問われることが多く、そこは押し返す必要があると助言しました。「リスクを取る人が、そのリスクに責任を持つようにすべきだと思います」

Weatherford氏は人材の確保・育成について、AIネイティブの若者を社内に迎え入れ、事業を教える有給インターンシップを支持しています。面接での工夫の一つは、候補者にビジネス上の課題を与え、AIを使ってその場で解いてもらうことです。唯一の正解はなく、柔軟性を見極める狙いがあります。

Weatherford氏はまた、社内でキャリアパスや昇進の機会を持ち続けられるようにすることも、CISOにとって重要だと述べました。給与を上げて同じ役割に留め置けば人材を引き留められると考えるのは誤りだといいます。