CISO、あるいはサイバーセキュリティ責任者として、来週の役員会への出席を求められました。「サイバーリスクトレンド」として割り当てられた時間は、5分間。さて、皆様なら、どのように報告原稿を準備されますか。
セキュリティ対策の重要度が高まるにつれて、企業のリスクを監視する取締役会、あるいは経営会議やリスク委員会などでの説明を求められる方々も増えているようです。そうした会議でメンバーが戦略的な議論をする前に、論点整理のために実務責任者が報告を求められることは、よくあるようです。
サイバーリスクがテーマであっても、少し前までは、それはCIOやIT責任者の役割だったかもしれませんが、昨今のサイバーセキュリティ対策の守備範囲は、ご案内の通り、ITや通信の不具合、あるいは会社の機密データサーバの管理という枠を遥かに超えてしまっています。そこで、経営目線で俯瞰的にサイバーリスクのトレンドを説明し、戦略的な観点から来年フォーカスすべきポイントの整理を行うのは、CISOの役割になってきているようです。もしも、皆様がその立場にあって要請を受けたとしたら、どういう準備をして、原稿を構成されるでしょうか。
報告内容もさることながら、折角の機会ですので、自分には、この役割に相応しい資質があり、また努力をしていることもさりげなくアピールしておきたいところです。どういう心構えで臨めばよいでしょうか。
こういう時に意外に役立つのが、国際的なサイバーセキュリティの最前線にあるISFが提供してくれるブログです。早速、関連しそうな最近のブログを繙（ひもと）いて参考にしつつ、準備を進めていきたいと思います。
（ここから引用）
新しい時代のCISOに必要な5つの資質
Published: November 30, 2022
SOURCE：CSOonline
Steve Durbin, Chief Executive, Information Security Forum
企業にとって、ランサムウェアやデータ漏洩は、顧客の信頼失墜や株主価値の減殺、レピュテーションの喪失、さらには多額の罰金や刑罰に結びつきかねない、尋常ならざる危険と言えます。サイバーリスクは、米国企業の役員室における最大の関心事であり、最高情報セキュリティ責任者（CISO）の役割は急速に注目を集めています。半数以上（61%）のCISOは取締役会に報告する立場にあり、取締役の方もCISOが何を説明してくれるのかに、ますます関心を寄せています。時代が要請するCISOは、ただ単に技術的なスキルを持っていれば十分という訳にはいかないのです。以下では、これからの時代に、最高情報セキュリティ責任者であるとはどういうことなのか、求められる資質を紹介します。
1.戦略的な視点を示せる
これからの時代のCISOに必要な特徴は、その洞察力と自信にあります。優れたCISOであれば、技術や戦術的な視点ではなく、ビジネスの観点から問題群を構造化していきます。また、有事の際にだけ呼ばれる消防士としてではなく、先見性のある船頭役として登場します。そして、広い視野と戦略的なビジョンを備え、サイバーセキュリティの能力、それに対抗して進化する脅威のベクトル、さらには諸規制の要請をも弁（わきま）えています。さらに、話し手としても秀でており、経営者が理解できる言葉を選び、サイバーセキュリティ対策の枠組みを、会社の事業目標や戦略に沿って説明していきます。
2.チャンスとリスクを調和させる
管理の目が届いていないリスクはともかく、リスクはことごとく忌避すべき有害なものばかりであるとは限りません。もしも今CISO が、すべてのリスクは悪いものであり、当然に制圧することを求めたとしたならば、社内で上手く行かなくなり、意気込んで作った計画案も頓挫しかねないでしょう。新時代のCISOであれば、諫言する役ではなく、進言する役を務めなければなりません。経営陣がチャンスとリスクを調和させようとする流れに棹をさすのです。どこまでなら大丈夫なのか？ その事業が越えてはならない一線はどこにあるのか？ こうした問いに、CISOは答えを求められているのです。リスクはビジネス上の判断の結果なのであって、セキュリティ責任者が取り扱いを判断するのではありません。リスクとリターンの議論の口火を切るのはCISOであっても、そのリスクをそのまま取るか、あるいはそのリスクに対して何か対処するかを決定するのは会社としての意思決定でなければなりません。
3.臆することなくリーダー経験を積んでゆく
新時代のCISO像は、カリスマ性があり、進取の精神に富み、人脈が豊かで、自社やセキュリティ業界で大いに尊敬を集める人物です。情報セキュリティ対策によって会社の事業が救われた時には、すかさずそのメリットに光を当てます。また、IT部門以外の部署にも報告を受け取ってもらえるよう徐々に社内体制も整え、独自性を確保していきます。また、新世代型CISO は、業界のイベントにもよく顔を出したり、自らの経験をソーシャルメディアや放送メディアや紙媒体でも語ったりして、評判や影響力を高めていきます。
4.自社事業を理解し、信用を築き、そして共感を得る
新時代型CISOは、社員が日々直面している諸課題の裏にある自社事業の文脈を踏まえずして、セキュリティ上の意思決定を正しく下すことはできないことを十分承知している必要があります。また、従業員、顧客、パートナー、事業の利害関係者の定例会議や協議会に出席して、信頼関係の構築を後押しすることも必要です。さらに、我関せずとお高く留まらずに、情報セキュリティに批判的な部署や部署長とも信頼の橋を架けなければなりません。また、大きく企業文化を変えるという動きがある時には、厭わず態度を一変させ、期待を高めるように振る舞うことが求められます。自分たちがやろうとしていることの意味や予期せぬ影響度、さらには軋轢が生じてしまわないかということも、よく考えぬかなければなりません。そうであればこそ、重要な利害関係者の信頼を普段からしっかり獲得しておき、その上で彼らの感情の動きを察知し、求めるものに対しても敏感でなければならないのです。
5.あらゆる立場の人の心に響く言葉で話す
CISOは、上級役員、取締役、非常勤取締役に対して、自分たちの熟練した仕事ぶりをアピールすることができるように準備をしなければなりません。重要なプレゼンテーションの前にはリハーサルを行い、取締役に時間をもらって、予め彼らの優先順位を理解し、どうすれば彼らが求めているものに応えられるかを見極めておく必要があります。部門長クラスに対しては、彼らが必要とする情報に対して非常に厳しい視線が注がれることが多いため、新しい取り組みや戦略の変更を行おうという時には、正確な統計や指標に裏打ちされたものを用いる必要があります。また一般社員に対しては、技術者でなくても理解できるような言葉で話すことが必要です。また、セキュリティのベストプラクティスの重要性について社員に理解を深めてもらうためには、例え話や 物語、トレーニングの手法などを駆使しなければなりません。そして、サイバーリスクが自分に直接どのように影響するのか、また、リスクは自分のデータ・プライバシー、同僚、そして会社にどのような悪影響を及ぼすかについて考えるよう、社員に働きかける必要があります。
そもそもセキュリティという概念は、信頼という考え方に深く根ざしており、この信頼こそが次世代型CISOと従来型CISOを分ける重要な要素です。サイバーセキュリティの専門家であり、先見性を持つ次世代のCISOは、アドバイザー兼ガイドという重要な役割を担っており、荒波を予測し、波立つ海から企業を守るとともに、激動の時代にもレジリエンスを保つことができる人物なのです。
（引用おわり）
さてさて、大変なことになってきました。来週の役員会まであまり時間はありません。さっと、今年あった社内外のリスク事象について概観をまとめて、役員秘書にアポイント取り付けを依頼して、戦略的な話の勘所を掴むことから始めることにしました。
まず、全体的な環境認識としては、Covid-19パンデミックの影響を受けて、当社も在宅勤務が定着してきて、サイバーセキュリティの環境がガラリと変わってしまったことを挙げなければなりません。また、この逆境にも拘らず、会社は一丸となってDXに戦略的に取り組んでいること、それをセキュリティチームとしても懸命に支えていることにも触れておきたいところです。
ただ、トレンドとしては、サイバーセキュリティの課題が深刻化、複雑化しており、対策コストも上がる傾向にあり、来年には戦略的な決断が必要になって来るということもインプットしておきたいところです。
リスク事象は、簡単に3つ4つ例示して、役員の関心の順番を知りたいところです。世間をにぎわせたサイバー攻撃と当社への影響、そして、サプライチェーンサイバーセキュリティという新たな問題、の2つくらいを、世界的なトレンドであり、当社でも問題になったとして社内事例を挙げておくことにします。
他方、これに対照的な問題群として、チャンスとリスクのバランスで苦労している事例を１つ2つ挙げて、来年あたりには経営判断を仰ぐことになるのではないか、と前振りして置こうと思います。まずは、DXの中でAIを導入したのだけれども、社内外で関わる人々やデータソースが増えてきたので、データ自体の精密性を維持することがだんだん難しくなってきていることを挙げたいところです。次に、これはどういう風に言うか、先に法務部門や監査役室あたりとすり合わせが必要かもしれませんが、当社の海外事業でのデータに関する規制強化の動きや倫理的取り扱いを求める動きが強くなる中、法務部門や監査部門と密接に打合せを重ねていることも報告しておきたいところです。
2023年のサイバーセキュリティ戦略の枠組みや、焦点を当てるべき点については、それぞれ3つ4つ挙げる心づもりですが、まずは役員ヒアリングを済ませてから改めて整理しなおすことになるでしょう。
今回のブログの冒頭で掲げた思考実験としての演習問題については、12月20日（火）16時からの「リスクトレンド研究会」で自答することに挑戦してみたいと思います。
小原：hiro.ohara@securityforum.org
