前回は、サイバー保険という、ある意味外部の知恵に対して、なけなしの予算を振り向けるべきか、という視点で、サイバーセキュリティ実務の最前線を見てみました。今回は、サイバーリスクに対する脅威シナリオの描き方、さらにはそれを全社リスクモデリングの中に組み込んでいくビビッドな実務の知恵を学びたいと思います。
そこで、いつもとは趣向を変えて、メンバーフォーラムであるISFの会員企業の一社、A.P.モラー・マースク社（デンマークに本拠地のある、世界最大の海運コングロマリット）のリスクモデリング体制の実状を公開ウェビナー『リスクと見返り：脅威の地平線2024を活用する』から聞き取って共有します。こうしたメンバー実務の知恵をギブアンドテイクする伝統は、ISFという高度な自治を誇る団体の真骨頂というわけですが、全て聞いてみたいという方は下記のYouTubeにアクセスいただくとして（30分）、このブログでは、幾つかのエピソードを取り上げて議論したいと思います。
なお、「脅威の地平線」とは、ISFが毎年1月に会員向けに提供している看板レポートの一つで、2022年1月には、”Threat Horizon 2024” として、これから2－3年の間に新たに出現したり強度を増したりする脅威シナリオ9つを、現在既にある脅威の18シナリオと共に検証し、対応策の優先順位の付け方や社内検討の手法と合せて詳述した84ページの手引書です（日本のメンバー企業の方々には、参考訳として日本語版が共有されています）。
（2022年7月14日公開）
聞き手：Mark Ward - Senior Research Analyst of the ISF
Paul Watts - Distinguished Analyst of the ISF
インタビューでは、同社のリスクモデリングの全体像やサイバーリスクに関する組織的なテーマと、より具体的にサイバーリスクに対するシナリオ・プランニングについての実務上の工夫について質疑応答がなされていますが、ここでは、適宜要約しながらエッセンスを見ていきたいと思います。
インタビューに応じたのは、同社サイバーリスク戦略統括責任者（Head of Strategic Cyber Risk and Foresight）のアマンダ・ハレットさん（Amanda Hallett）と、同僚のサイバーセキュリティ・リスクマネージャーであるカレン・ランダワさん（Karan Randhawa）です。
まず、体制について述べています。
（以下、動画の内容を要約）
「マースクには、現在、いくつかのリスクチームがあり、我々のチームはリスク管理の中でも、戦略的な展望を担当しています。つまり、マースクという企業における技術的なリスクを理解し、評価し、特定する仕事ですが、リスクだけでなくその見返りも含めた将来的な展望に焦点を当てています。」
「さらに、オペレーショナルリスクマネジメントを担当する別のチームがあり、日々のリスクマネジメントとして、オペレーショナルリスクの評価と管理を行っています。ここでは、5×5マトリックスの標準的な方法論によって業務を進めています。」
「また、第三者リスク管理チームもあり、こちらでもオペレーショナルリスク管理チームと同じことを行っていますが、サプライヤーと契約に焦点を当てて、少し違った角度からリスク管理を行っています。」
「いずれのチームも、リスクに対しては同じような方法、すなわち＜発生可能性 ｘ 影響度＞のマトリックスを用いて仕事をしています。ただ、私たちのチームは、常に変化する脅威の地平線に対応するため、より前広にサイバーセキュリティ能力が発揮できるように、能力形成に重点を置いています。つまり、常に後手に回るのではなく、もう少し積極的な行動が取れるようにしたいのです。」
かなり大掛かりな体制であることがわかります。やはり巨大なコングロマリットとして事業領域にも地域にも広がりがあるからでしょうか。
「そうだと思います。しかし、それ以上に、サイバーセキュリティの脅威の地平線が常に進化していることが影響していると考えています。」「“Threat Horizon”は、企業としての備えを強化し、セキュリティ・ギャップや標準化戦略などを特定するのに役立っています。私たちは、脅威が現実のものとなったときにはじめて、それに対して対応するのではなくて、もう少し先を見越して対応できるように、集中的に投資しています。だからこそ、私たちは毎日脅威に向き合わなければならないのです。そのように＜今、ここ＞に対処する必要がありますが、同時に、将来それがどうなるか、企業に対してもたらされる意味を推察する必要もあります。」
先を見越した対応というのは、言うは易し、行うは難し、なのだろうと推察します。
「そうですね。私どもの事業には極めて多様なリスクがあります。マースクには海運事業だけでなく、さまざまな事業があります。私たちは一気通貫のロジスティクス企業集団ですから、オペレーション技術環境、産業環境、IT、IoTなど、さまざまな業種の企業が、ほぼ一つのブランドの下で個別に事業を展開しているのです。そのため、特定の業界に典型的な脅威だけでなく、さまざまな脅威にさらされており、企業としてそれらを管理する必要があります。現在あるリスクに対しては、今すぐにでも対応を迫られる可能性があるということです。そして、当社のリスク方法論とそれに対する説明責任者の考え方に基づき、脅威への対処方法について決定が下されます。」
「私たちがしようとしているのは、私たちが直面している地政学的な状況や、私たちが活動するさまざまな地域に広がっているさまざまな種類の脅威に基づいて出現しうるシナリオを提示し、会社の意思決定において少しでも準備と予防を怠ることのないよう、その一助となることです。」
一口に会社による意思決定と言っても、マースクはもちろんですが、他の多くの大企業においても、社内やグループ内にさまざまなリスクを抱えている中、テクノロジーのリスクを十分理解してもらって、正しい優先度で判断するのは容易ではないのでしょうか。
相対化の方法は何か、という問いに対しては、「リスクの数値化」（金額に引き直すこと）を挙げています。そして、そのことで業務分掌が異なる役員であっても、所掌ではないから、と言い逃れができなくなるといいます。では、どのように数値化するのでしょうか。
「経済的な損害は、さまざまな方法でそのインパクトを測ることで算定できます。例えば、風評被害や商業的なダメージ、また、純粋な財務的ダメージや業務上のダメージ、法律上の損害などを、さまざまな方法でそれを評価し、説明することができるというわけです。」
そうすると、いろいろ込み入った計算はあるにせよ、数値化さえできてしまえば、後は問題なくリスク管理上の判断が下されるということでしょうか。
「正直に言うと、最大の難題は、あまりにも多くの問題が今あることです。そのため、まず、人々が将来にきちんと目を向けられるようにすることが重要だと、私たちは思っています。なぜなら、問題のほとんどは、別の日に回すことができるものだからです。つまり、その問題はおよそ今日のことではなくても良いのです。」
たしかに、金額にすることができれば優先順位は比較的明らかでしょうが、それに対して「いつ」取り掛かるのか、将来起きるインパクトがあると分かっていても「今でしょ」とは、なかなかならないのが人情ですから、そこがサイバーリスク戦略統括チームの大切な役割の一つなのだと理解できます。全体像を見渡して、これは「今」と説得できる力が。
「その点については、私も同じように考えています。さらに、もうひとつのポイントも指摘させてください。リスクは必ずしも悲観的なものではない、ということを強調しておくことは、意味があることだと思うのです。」
「つまり、私たちがこのことをビジネス部門に説明するとき、『はい、これはあなたが直面する可能性のあるシナリオですが、実はこれには先手を打つチャンスがあるのですよ』と言うのです。そして、このチャンスはどのようなものかを説明します。」
「チャンスはさまざまな形で現れますから、それはソリューションかもしれません。そうすれば、それをコストとして計算することもできます。投資に対するリターンを計算することもできます。そして、私たちがやるべきことの中で、どれが優先順位として高いかを理解しながら、現実に先回りして行動することができるのです。もちろん、それを実行に移す必要がありますが、それでも、目先のことにとらわれず、人々が先を見越した行動を取ることが大切です。」
確かにこの指摘は片腹痛いところがあります。どうしてもリスク管理の仕事をしていると、眉間に皺寄せて唇を歪ませて、という顔つきになりがちです。我が身を振り返ってみても、いくら大切な将来リスクの話だからと言っても、そういう顔している人に自分から近づいてご高説を賜りたい、というような自虐的な行動を取る経営者はなかなかいない、ですよね。極めて人情がのぞく世界です。
「そうですね。言葉遣いですべてが変わります。つまり、意識を高めてもらうためということで、従業員にサイバーセキュリティの正しい行動を徹底するよう教育しようとしたとしても、脅すような言い方をしたならば、従業員は腰が引けるだけでしょう。自分が何か不適切なことをしでかすのではないかと思ってしまうからです。」「そうではなく、今までの意識をひっくり返して、従業員が、自分たちはビジネスにとって良いことをしている、価値のあることをしている、と感じられるようにすれば、どのような形であれ、そのようなことに対して彼らに見返りを与えることができるのです。たとえそれが『お手柄！』と書かれたメールであってもよいのです。言い方をひっくり返すだけで、ネガティブではなく、よりポジティブなものになります。」「そして、このようなことは、経営陣やCEOに伝えるときにも同じことが言えます。」
つまり、リスクの戦略的管理という仕事の立ち位置は、将来像のご託宣を述べたり、「このリスクを軽減しなければならない」と言ったりするのではなく、可能性のある未来について見通しを立て、透明度を高めることに注力して、経営幹部の方々が、最適な経営判断を下すための情報をタイミングよく提供する仕事だ、という訳ですね。いずれにせよ、一番やってはいけないことは、恐怖、不確実性、疑念を、自分の描いたシナリオや主張を飲み込ませたいがための武器にしてしまうことでしょう。そういうやり方では、戦略的に見ても切実に必要なビジネス部門とリスク管理部署の関係構築には繋がらないことでしょう。
そのように戦略が現場で活かされる際の仕掛けとして要である、ビジネス部門との人間関係は、マースクでは良好なようです。
「そういう流れになってきています。実際、昨夜、あるビジネス関係の方々と、まさにそのような話をしたところです。マースクでは多くの商品を開発していますが、商品のライフサイクルが始まるとき、あるいは何らかの理由で見直されるとき、ビジネス部門は積極的に私たちのチームのところに来て、将来のリスクと対応策に照らして具体的に要求事項を検討し、確認しているのです。つまり、もうちょっと広い目で見ようというわけですね。」「正直なところ、人々がこれほどまでにオープンになったことは、とても新鮮でした。というのも、この脅威のリスクシナリオを開発した当初に、私たちが言い続けてきた重要なことのひとつに、現場とのコラボレーションということがあります。『私たちは、あなたにどうすべきかを指示する立場ではありません。』『私たちは、いつも言っているように、情報に基づいた意思決定ができるように、ある意味で新しい形のインテリジェンスを提供しようとしているのです。』と言った具合です。」
ところで、世界的なパンデミックを受けて、例えば、安全が確保されていないネットワークで作業している在宅勤務者がいるために、セキュリティ態勢が変化してしまうことを心配するといった喫緊の課題に加え、中・長期的に何をしなければならないかについて対応するというのは大変なことと理解できます。このような短期と長期のバランスをマースクではどのように取っているのでしょう。
「その点は、当社のコーポレート統括リスクチームが、よく助けてくれました。コーポレート・リスクチームでは、新たなリスクを全社的に常に監視しているのです。もちろん、私たちは純粋にテクノロジーやサイバーに重点を置いているわけですが、彼らが捕捉している中にはそうしたリスクも含まれています。」「そして、その典型的なプロセスの一環として、危機管理チームもあります。短期と長期の両方を見据えた、非常に優れた能力を持つチームです」。
「このように、異なる優先順位で異なることに焦点を当てるさまざまなチームがあります。それは、短期的に適切なことが、実は長期的に適切であるとは限らないからです。そして、そのような議論に必要な時間と適切な優先順位が、経営陣によって示されるようになりました。」
興味深いことに、ある意味でパンデミックによって多くのことが加速されたとのことです。禍を転じて福となす、でしょうか。
また、マースクでは、”Threat Horizon”も積極的に活用して、組織全体として先回りしたリスク対応の歯車が回っているように思われます。それでもまだ、リスクモデリングやリスク管理で残課題はあるのでしょうか？
「ええ、いつでもやることがいっぱい、そんな感じです。今年の例で言えば、私たちは”Threat Horizon 2024”のレポートを利用して、私たちが使っているアウトプットを確認しました。業界のレポートも参照しています。もちろん、すべてが当てはまるわけではありませんので、私たちの業界に関連するもの、私たちの環境に関連するものだけを取り上げています。そのうえで、リスクとチャンスのどちらに該当するか、その可能性とインパクトを理解するために、独自の評価を行っています。」
「そして、可能性が高いものについては、適切な手法でモデリングを行い、損失のリスクカーブと発生する可能性のある金額を把握することになります。と言っても、今のところ、私たちができるのは、可能性の高い領域についてのみで、正直言って、全てのシナリオ分析には十分なマンパワーがなく、時間がかかるからです。」
最後に、” Threat Horizon” のような将来の脅威予測ツールを検討し始めている企業に対して、このような取り組みを行うに当たって、第一に手を付けるべき重要なポイントは何でしょうか。
「まず、2つほどアドバイスさせて頂きたいと思います。」
「初めに、ビジネス部門がなるほどと認めざるを得ないようなアウトプットの提供を考える訳ですので、まずビジネスの戦略的目標に焦点を当て、それに関連してどのような未来があり得るかを理解する必要があります。」
「次に、最初のうちは、あまり複雑にしすぎないようにハイレベルに留めることがいいと思うのです。」
「その点、この”Threat Horizon”は、本当に価値あるツールで、そういった戦略的な価値をストレートに見せることができますし、また、どうしたら自社が先を見越した対応を強化できるのかが実例として示されている点もとても貴重なものと思います。」
「さらにもう一つ付け加えるとすると、『コラボレーション』はキーワードになると思います。可能な限り、全員を参加させて、皆がそうした将来予想から価値を引き出せるようにすることです。」「もっとも、業種によって監督官庁の規制の厳しいところは、リスクも、監督官庁の規制を含めて理解できるようなマッピングが必要となるでしょうけれども。」
（要約おわり）
いずれにせよ、実際に、開発したツールで何を変えることができるのか、突き詰めて考えてみることが重要なのだと理解しました。
いかがでしょうか。かなり先進的な実務能力開発や組織内の対話の工夫なども知り得たのではないでしょうか。皆様の会社では、実務の実際を他社、業種や国が同じだけでなく、さまざまな企業とギブアンドテイクのできる、こうした機会をおもちでしょうか。
実際のところ予防能力と言っても、脅威予測ツールもサイバー保険と同様に、買ってきた商品がそのまま使えるというようなことはないわけですから、さまざまな実務の知恵を、信頼置ける相手から、時には深い所まで共有できる環境があれば、と思われる方々も多いのではないでしょうか。
神は細部に宿る、と言いますが、今回のポッドキャストを聞いたことで確信を深めたのは、個々人間の信頼関係構築を通じて知り得た、ちょっとしたヒント、小さな発見が重要なのだという考えです。それが世界の一流のプロフェッショナルが集う国際コミュニティの中で、ギブアンドテイクという形で、自分たちにとっては小さな知見でもそれを必要としている人に共有できたら、自分たちのやっていることにより一層の誇りを持って仕事ができるだろう、という思いでもありました。
小原：hiro.ohara@securityforum.org
