転機にあるCISOモデル
CISO（最高情報セキュリティ責任者）というロールモデルは、1995年に米国で誕生して以来、企業のサイバーセキュリティを牽引してきました。昨年で30年を迎え、その重要性は現在も変わっていません。
実際、本邦企業におけるセキュリティ投資は増加が続いており、生成AIの普及による攻撃高度化への対応も、AI自体が攻撃対象となる問題も喫緊の課題です。この状況において、CISOへの期待はむしろ膨らんでいるように見えます。
しかしその一方で、本質的な変化が進行しています。それは、AIによって加速される「エコシステム型ビジネス」への移行です。取引関係は多層化し、変化が常態化し、企業の境界は曖昧になります。その中で、リスクは個社の内部にとどまらず、ビジネスを構成する「関係性」の中を流通するようになります。
このとき、CISOの前提――すなわち「自社を守る」という枠組み――は揺らぎ始めます。
最終回となる今回は、この構造変化を踏まえ、エコシステムセキュリティの課題を整理し、その限界を見極めます。その上で、次の段階としてのガバナンスへの転回の必要性を提示します。
エコシステム高度化に引き込む、麗しき歌声
ギリシア神話に登場する海獣セイレーンは、美しい歌声で航海者を惑わせ、破滅へと導く存在です。
エコシステムもまた、強い魅力を持ちます。効率性、柔軟性、レジリエンス、更には、統合化や自律化――これらの価値は、経営判断において抗いがたいものです。AIによって最適化されたサプライチェーンでは、脆弱性やアクセス管理までも自動的に検知・調整され、代替サプライヤーや物流経路も即時に再構成されます。
しかし、この「美しい歌声」は同時に、CISOにとっての構造的な難所を生みます。その典型がサプライチェーンセキュリティ（SCS）です。
現在、本邦でも制度整備が進み、企業間でのセキュリティ水準の可視化と底上げが試みられています。しかしそこには本質的な難しさがあります。SCSの核心は、組織内部の統治問題を、契約を通じて外部に実装しなければならない点にあります。企業内では、人・プロセス・技術（PPT）を統合的に管理することでセキュリティを担保できますが、SCSではそれを他社に求め、その履行を継続的に確認しなければなりません。
さらに重要なのは、SCSが企業単体の管理の問題にとどまらない点です。リスクは連鎖します。直接の取引先だけでなく、その先へと広がる多層構造の中で、どこか一つの脆弱性が全体のリスクへと変換されます。このとき、CISOは「境界の外」にあるリスクと向き合わざるを得ません。
SCSは、潜在的なリスク連鎖を、自社の経済的・法的責任として引き受ける構造でもあるのです。
セキュリティの中核「人」に議論収束
次に、エコシステムの高度化に向かうビジネス潮流の中で、CISOにとっての難所となる構造を、米国・MIT経営大学院のケリ・パールソン博士が、ISF CEO・スティーブ・ダービン氏との対話で語った言葉に見てみましょう。
（以下、引用）
――――――――――――――――――――――――――――――――――
ケリ・パールソン博士
数年前に私が気づいたのは、リスクや脅威、脆弱性についてどれほど議論を重ねても、最終的に「最大の脅威」として浮かび上がってくるのは、常に「人」だったということです。私たちの研究を支援している会員企業、つまり多くの企業が口をそろえてこう言っていました。「どうしても社員の行動を揃えることができない。研修を行い、啓発プログラムも整えているのに、それでも人々が、たとえ悪気はなくとも、サイバー上の脆弱性や脅威を生み出してしまう行動を取り、時には実際の攻撃につながってしまう」と。
そこで私たちは、「サイバーセキュリティ文化の構築」と呼ぶ研究プロジェクトを立ち上げました。私の考えでは、「文化」とは、サイバーセキュアな行動を導く価値観・態度・信念のことを意味します。つまり、私たちが目指しているのは、価値観、態度、信念に働きかけることなのです。
（中略）
サイバーセキュリティ文化には、明確なオーナーが必要だという点は、とても重要だと思います。もし誰もオーナーでなければ、組織に「これは誰の責任ですか？」と尋ねたとき、特定の役割が設けられていない限り、必ずCISOの方を向いてしまいます。CISOは本当に素晴らしい仕事をしていると思いますが、すべてを担うことはできません。サイバーセキュリティ文化づくりが本来の職務でなければ、それは結局、誰の本業でもない仕事になってしまいます。
（中略）
構造的に「責任を持つ人」を置くことが不可欠なのです。
――――――――――――――――――――――――――――――――――
（ここまで引用）
エコシステムセキュリティの議論も、最終的に「人」という要素に収束します。どれほど高度な技術的対策を講じても、脆弱性は人の行動を通じて顕在化します。価値観、態度、信念――すなわち文化の問題です。
そしてこの「人」は、エコシステムにおいて三重の困難として立ち現れます。
第一に、エコシステムそのものが経営や現場を強く惹きつけ、セキュリティ上の慎重さが後景に退いてしまいます。
第二に、「人」は自社内にとどまらず、エコパートナーの企業へと拡張し、その範囲や対象となる人の流動性は増大します。
第三に、CISO自身が人を動かす主体でありながら、その影響力には構造的な限界があります。
これは能力の問題ではありません。ロールモデルそのものの設計限界です。サイバーセキュリティ文化は本来、組織全体で担うべきものであり、経営の関与が不可欠です。しかし現実には、その責任はCISOに集中しがちであり、「誰の仕事でもない領域」が生まれます。
ここで問われるのが次の点です。誰が、人を動かすのか。この問いに答えられない限り、エコシステムにおけるセキュリティは安定しません。
ビジネスとセキュリティの再調和は可能か
エコシステムにおけるセキュリティは、静的な統制ではなく、動的な適応の問題です。
従来のチェックリストや監査は一定の有効性を持ちますが、それは時間的に安定した環境を前提としています。変化が常態となる現在においては、この前提が崩れています。たとえ非開示が前提であったセキュリティ対策の詳細を共有したとしても、今日は安全であっても、明日もそうとは限りません。したがって求められるのは、固定的な正解ではなく、変化に応じて関係者が継続的に調整していく運用です。エコシステムにおけるセキュリティは、関係者間の対話と協調の積み重ねによって維持されます。
ケリ・パールソン博士が続けて述べていましたが、一部の企業では、サプライヤー支援やコミュニティ形成を通じてエコシステム全体の底上げを図る取り組みも見られます。これは単なる統制ではなく、「関係性の動態的設計」に近いものです。しかし、この分野において確立された方法論は、まだ十分に整備されていません。
筆者が想定する方法論のイメージは、動態的関係性の設計は音楽に近いものです。冒頭にギリシア神話の海獣セイレーンを引き合いに出したのは、そこに思考の手掛かりがあると考えたからです。
よく知られたホメーロスの『オデュッセイア』では、オデュッセウスは、セイレーンの歌声が船員には聞こえないよう蜜蝋で耳栓をさせ、また自身はマストに縛り付けさせ、船員全員の遭難をまぬかれました。これでは、動態的なエコシステム特有のリスクには耳をふさぎ、或いはじっと耐えることでやり過ごそうという行き方になりそうです。どうも期待するところに行けそうもありません。
ところが、海獣セイレーンが出てくる叙事詩はもうひとつあります。アポローニオスの書いた『アルゴナウティカ』です。セイレーンの岩礁に近づくと、乗組員であったオルフェウスが、弦楽器のリラをかき鳴らして歌を打ち消したので、船員の安全が確保されたというのです。そうです、この行き方があるではないですか。
最初の美声（エコシステム）はビジネスリーダーが奏でる。セキュリティのオーナーは、その旋律に追随し、調和を崩さぬ別の声部を担う。そうして、ビジネスの中に潜むリスクを中和させるというイメージが湧いてきます。
CISOの外側にある問題へ
ここまで見てきたエコシステムセキュリティの課題は、次の三点に整理できます。
-
・責任境界の曖昧化（コーポレートガバナンスの境界の越境）
-
・人の制御困難性（文化の希薄化、人の流動化、人を動かす力）
-
・動的環境への適応限界（個社のセキュリティの動態性にかぶさるエコシステムの動態性）
これらはいずれも、CISOの役割範囲を超えています。守るべき対象もまた変化しています。それは個別のIT資産やデータではなく、企業間の関係性そのものです。問題群の関係性ともいえます。
すなわち、問題は、すでに「セキュリティ対策」ではなく、「動態的ガバナンス」の問題へと移行していると言ってもよいと考えます。動態的とは、モノとモノとの関係だけではなく、関係性（コト）同士がさらに相互作用する構造までも射程に置くという意味でもあります。つまり、多様化を続けた結果、何が「ロック」なのかわからないからこそ「ロック」という定義にも似た、変化そのものを前提として統治する枠組みが必要になると考えます。
関係性を設計し続ける営みへ
本シリーズ「デジタルリスクの地平線 ― 国際的・業際的企業コミュニティの最前線」では、サイバーセキュリティ実務の最前線をたどりながら、リスクの変化と対応の在り方を見てきました。
その到達点として明らかになったのは、エコシステムの時代において、セキュリティが「関係性の設計問題」に変質しているという事実です。従来のCISOモデルは、その重要性を維持しつつも、この構造変化の中では限界を露呈しつつあります。
今後問われるのは、関係性をいかに統治するかという点です。エコシステムの時代において、セキュリティはもはや個別対策ではないのです。関係性を設計し続ける営みと言えます。
そこで、どのような営みが、この動的な環境に秩序を与え得るのかが焦点となります。次のシリーズでは、「デジタルリスク駆動型関係性ガバナンス（仮称）」という視点から、この問題に向き合い、新しいアプローチを目指して思考実験を展開していきます。そこでは今回利用した「神話」や「音楽」からのヒントはともかくとして、法学や哲学や心理学さらには倫理学などの「リベラルアーツ」の力を借りて着眼すべき点を掘り下げつつ、コーポレートガバナンスの視点を踏まえた探究となる予定です。
長きにわたり本連載をご購読いただき、誠にありがとうございました。
次の地平で、再びお目にかかれることを楽しみにしております。
