第3回 情報セキュリティー統括責任者の資質

3回目となる今回は、まず、近年注目を浴びる情報セキュリティー統括責任者CISO（Chief Information Security Officer）について、Forbesの記事を斜め読みします。ISFは、国際的に活躍するCISOの一大コミュニティーです。自らの能力開発に余念のない彼らへのインタビューも踏まえ、CISOへの期待スキルがこの20年間でいかに変遷したかについて、報告書が公表されています（"Becoming a next-generation CISO” ）。記事では、報告書で整理された「新たな6つのスキル」をSteve Durbinが要領よくまとめています。

次に読む記事は、CISOというヒトがさまざまなスキルを総動員して対峙（たいじ）する先、やはりヒトの問題に関するものです。インサイダーとの向き合い方は極めてナイーブで、問題の性質によって、また国や企業あるいは文脈によって多様。情報セキュリティーにおける、ヒトへの迫り方、の最前線を垣間見てみたいと思います。

高みを目指すCISOに必要な6つのスキル

Steve Durbin（ISF：マネージング・ディレクター、フォーブス：ビジネス・カウンシル・メンバー）（出典：Forbes 2020年9月22日、訳：小原）

（写真はイメージ：GETTY）

デジタルトランスフォーメーションの急襲、目まぐるしく変わるコンプライアンス、また、高スキル人材の枯渇などが相まって、近年、情報セキュリティー統括責任者（CISO）の重要性が高まっています。才能や経験に恵まれたセキュリティー専門家への需要はこれまでになく高まっており、あらゆる企業が助力を得ようと躍起になっている今こそ、大きな飛躍のチャンスもあります。

CISOは、変化に富んだやりがいのある役職で、ビジネスの成功に大きな影響を与えることができます。世界的な不況、貿易摩擦、あるいはさまざまな不透明感などを背景とする、業務拠点の分散化や規制強化に対処しなければなりません。CISOは、その職務をそつなくこなし、また十分な予算を確保するためにビジネスニーズを深く理解し、具体的な成果を出し、各組織の長とも連携を図っていく必要があります。

仕事で成功を収めようとするCISOには、次の6つのスキルは決定的に重要だと考えます。

明快に伝達する

ビジネスリーダーであれば誰しも、明快な表現を使うことが求められますが、CISOにとっては、とりわけ重要なスキルです。サイバーセキュリティーの世界では、専門用語や込み入った技術的論点があふれていますが、CISOは、複雑な事柄を、取締役会や経営陣から倉庫フロアの作業員まで、誰にでも分かる言葉で説明することが重要です。また全従業員に浸透するセキュリティー文化を創るには、単に説明するだけでなく、優れたセキュリティー衛生（気を付ける習慣）の大切さについて、皆が疑いなく受け入れられるように導くCISOが必要なのです。

プレゼンテーション能力は、予算の獲得交渉や新対策の指揮、さらには従業員訓練などにおける、CISOの手腕を左右します。CISOは、取締役会その他の経営陣に対しても同様に、脅威の最新状況やコンプライアンス規制の最新動向、さらにはインシデントによる財務的影響を絶えず報告し、リスクを踏まえた意思決定が行われるようにすることが必要です。

リスクとチャンスとのバランスを取る

多くの企業がデジタルトランスフォーメーションに苦戦しつつも、技術の可能性を過信する傾向があります。有能なCISOは、企業のリスク許容度とチャンスの価値を比較して、リスク対応のための適切なコストを見積もることができます。

情報窃取や規制違反による将来の悪影響と、新技術や新プロジェクトあるいは方針転換によるビジネス上の潜在的なメリットとの間で、バランスを取る能力が不可欠。さもなければ、セキュリティーへの懸念がビジネスの勢いを抑制するリスクを冒すことになります。

リーダーシップを発揮できる

脅威が現実のものとなったとき、CISOには経営陣に報告する責任があります。一方で（皆が脅威を感じない状態となる）「危機疲れ」も現実にあるため、一刻を争って自身で対処しなければならない事態となることもあります。卓越したCISOは、セキュリティーインシデントを正しく処置して、ビジネスの損害を最小限に抑えます。

また、重大な脅威がもたらす潜在的な影響を見分けて、一連の対応方針を選択する前にキーマンの意思決定を仰ぐこともできます。このように、どういう場合にセキュリティーチームが自律的に行うか、どんな時に関係者を巻き込むかを判断する能力は希少であり、このようなリーダーシップの発揮は、ビジネスに非常に大きな利益をもたらします。

インシデントを効果的に管理する

どれほど強固な防衛体制を敷く企業であっても、セキュリティーインシデントは避けられないものです。重要なのは、どう処理するかです。有能なCISOであれば、起こり得るインシデントを念頭に置いた計画を立て、臨機応変な対応ができるように備えます。また混乱を鎮めて事態を速やかに復元するために、ツールやスタッフを自在に使えるよう効果的な管理を行います。そうすることで、インシデントを直ちに把握し、明快な経過報告を上げ、間違いのない脅威緩和策を提言できるのです。

最新の規制要件に通じている

新法が制定され、規制要件が新しくなるにつれて、コンプライアンスは永遠に継続していく課題になりました。CISOとしては、自社業界に係る最新の規制動向を十分に把握し、自社ビジネスに影響を及ぼす可能性のある新法制定や規制改定について明確な考えを持たなければなりません。

優れたCISOに特異な能力は、ゲームの風向きを見極めて先回りできることです。スマートなCISOは、新規制のたびに小刻みな変更を積み上げず、長期的に安定する状況を作り、将来的にも順守対応がしやすいように基盤を改定します。

技術を理解する

技術に長けていることは、上述の5つのスキルをないがしろにしかねないほど過大評価されているきらいはあるものの、CISOにとって、社内で利用する技術に関して十分な実用的な知識を持つことが重要であることに変わりはありません。適切なツールの選定だけでは不十分です。その設定方法まで理解していなければなりません。また適材を雇うだけでは不十分です。その業務を十分に理解した上でパフォーマンスを評価することまでが必要になります。新技術導入の潜在的なリスクとチャンスを効果的にバランスさせるというからには、そこまでの理解が必須です。

以上の6つのスキルは、優れたCISOに期待されるスキルを網羅したということではなく、これらの全てはCISOにとって、より良いサービスを自社に提供するために役立つ能力と言えます。多くのCISOは、火消作業に巻き込まれて通信の見張り役をするわけですが、最も成功し熟達したCISOは、大局に焦点を当てて、将来のチャンスに備えて計画を立て、またビジネスの成果と効果的なセキュリティーを調和させていくのです。

インサイダー対アウトサイダー
データセキュリティーの脅威としてどちらがより危険か？

この20年間でパソコンでの業務が増え、今やリモートワークの時代が到来し、振り返ればビジネス環境のオンライン化はあっという間でした。他方で、世代交代も進んだこともあり、企業文化や価値観も変化しています。エッセイを読んでいて、そうした激変の中でも平常を保つことがミッションのCISOが抜きん出ていくためには、たゆまぬ専門的な努力だけでなく、「人間としての鍛錬」が必要なのだと理解しました。

他方で、その能力が発揮される企業の組織には、守ってあげるべき人々ばかりではなく、困った人々である「インサイダー」が紛れているのが現実です。自分自身の経験でも特に、Good Insiderと呼ばれる善意のインサイダーにどう対応すべきか、なかなか難しい課題だと感じていました。

インサイダーの問題を、皆さまはどのようにお考えでしょうか。DataInsider（Digital Guardian blog）が掲載している47人の専門家パネル「Insider vs. Outsider Data Security Threats: What’s the Greater Risk?」の記事は、いろいろな視点が示されており興味深いものですが、今回は、その中からSteve Durbinの見解を、有能なCISOが持つべき視点の一例として、ご参考に供します。

 

STEVE DURBIN
@stevedurbin
Managing Director of the Information Security Forum (ISF)
主な専門分野は、企業や個人の枠を超える課題であるセキュリティー脅威の状況、サイバーセキュリティー、BYOD、クラウド、ソーシャルメディアなどです。以前は、ガートナー社のシニア・バイス・プレジデントを務めていました。

（写真はイメージ）

「データ漏えいが増えるのは、多くはインサイダーの脅威の結果でしょう」　　　　　　　　

実際のところ、インサイダーの脅威は、今後数年で減少するということはなく、企業にとっては、かなり危険な存在となるでしょう。危険性の軽減のためにセキュリティー管理や採用時の身元調査の強化に精を出せば、業務効率の改善策と逆行してしまいます。会社の倫理や常識よりも、自分なりの道徳や感じ方を優先する人が増えるにつれて、悪意あるインサイダーも増えていくことと思います。

次第に人の流動性も高まりインターネット接続も密になって、インサイダーの脅威は確実に高まっています。ほぼ全ての従業員が相互接続デバイスを複数台持っており、情報を即座に、かつ大規模に漏えいさせることも可能です。もはや漏えいリスクは、持ち運べる紙の量に留まらないのです。同時に、社会的規範が変化し、忠誠心による企業と従業員の結びつきもむしばまれています。

われわれISFでは、インサイダーの行動類型は、3つあると考えています。悪意に基づくもの、過失によるもの、および偶発的なものです。

悪意に基づくもの

悪意ある行為には、危害を加えようという意図だけでなく、不適切な行動だと自覚した上での意思決定が必要です。例えば、競合他社に転職する前にファイルを複写したり、機密情報を漏らしたり、ネットワーク運用を妨害したり、業務上の特権で私腹を肥やしたり、ということが該当します。

過失によるもの

過失という行為には、危害を加えようという意図はありませんが、不適切な行動だと自覚した上での意思決定はあります。例えば、時間の節約や生産性を向上しようという善意に基づく行動でも、無許可のサービスやデバイスを使用するなど、管理策をすり抜けたり、ポリシーを回避したりしているのを承知で行うことも多いのです。悪意こそないとはいえ、過失類型のインサイダーは、企業のリスク許容度を超えたさまざまなリスクを知りつつ受け入れてしまうのです。

偶発的なもの

偶発的な行為には、危害を加える意図もなければ、不適切な行動であるという自覚も意思決定もありません。間違った宛先にメール送信したり、わなが仕込まれた添付ファイルを開いたり、個人データを公開サーバに上げてしまったりということは全て、偶然に起こりえます。

上記のいずれの行動も、初回は偶発的行為と見放されるかもしれません。しかしながら、繰り返されると過失と見放される余地も出てくるでしょう。

インサイダーの脅威からくるリスクを管理するには、3つの行動類型全てを対象とすべきです。いったんリスク評価が定まれば、技術的あるいは業務的統制、または、雇用のライフサイクルを通じて役割・責任・権限を調整することで、確実な効果を得られます。

ただし、それだけでは不十分です。企業は、信頼の文化を育まなくてはなりません。企業はインサイダーを信頼し、それに応えてインサイダーも企業を信頼する、という文化です。インサイダーリスクにさらされる可能性が高い企業であればなおさら、インサイダーの危険性とセキュリティーに関する意識向上プログラムを拡充させる必要があるでしょう。

企業は、どういう場面で、どの程度自社のインサイダーを信頼しているのかを理解する必要があります。そして、人々がその信頼に応えてくれるように、技術的なあるいは業務上の統制を補強していかなければなりません。また同様に、企業としても、信頼に値する文化を社内に醸成していくべきです。

信頼醸成というコトバが出てくるところが、コミュニティーの知恵のように思えます。まさにリーダーシップが発揮される場面ですし、他の5つのスキルも総動員して取り組む大きな課題と考えます。

CISOは、Good Insiderから信頼されることは必須ですが、ただし、その裏には、リスク管理の定石を踏まえたきちんとした段取りと、ヒトを見る暖かくも透き通った目もなくてはならないでしょう。

ISFにおける「集合知」の詳細は”Managing the Insider Threat” 報告書で公開されていますので、ご関心のあられる方はお読みください。

なお、この中で紹介されているIRAM2というリスク評価ツールは、セキュリティーチームが実践を積み重ねるなかで、30年にわたって使い込まれ、改善が重ねられたものです。インサイダー・リスクを含めて、総合的、国際的に説明できるツールは、フォーラム会員にとって貴重な共有財産になっています。