実のところ、欧米の一流企業のCISOにも悩みはたくさんある訳です。パンデミックの大洪水が引いて久しぶりに出社しても、以前の芸風では、尊敬されることはおろか生き残れないかもしれません。そうした中で、今求められているスキルは、新しい技術の知識よりも、知を産み出す対話力だというのです。
そこで思い出すのは、産婆さんを母親に持つソクラテスが対話の相手から知を次々と引き出していくスキルです。何か新しい価値のあるものを産み出す対話術そのものは、ソクラテスに学ばなければなりませんが、最前線の悩みは何か、それにどういうアドバイスをISFはするのか。後進のCISOたちに語り掛ける、名うてのセキュリティアナリストで愛すべきポールさんの話を聞いてみることにしましょう。
（次のページから引用）
セキュリティと経営陣 ― 話せばわかる
Published: 9 March, 2023
SOURCE：ISF
Paul Watts, Distinguished Analyst, Information Security Forum
今は、パンデミック後の（デジタル化された）時代。
今般のパンデミックの衝撃からの復旧が進められる中、デジタルトランスフォーメーションが多くの企業の事業運営を劇的に変化させています。イノベーション、効率化、収益性の向上が約束されたことで、一刻も早い変革への圧力が高まっています。しかし、急進的で抑制のきいていない変革の仕方では、ビジネスリスクも、得られるべき見返りも共に増大させかねません。セキュリティリーダーとビジネスリーダーは、肝心なときに離反してしまっています。デジタルトランスフォーメーションのリスクを適切に受け入れ、管理できるような業務上の協力関係を構築するために、意識改革が急務となっています。この記事では、離反が生じた理由、何もしないことの意味、そして構築するために取るべき重要なステップへの踏み出し方を探ります。
人間関係が険悪になっている（または、「私ではなく、あなたでは？」）
「どうしても（役員会の）関心を引くことができないんだよ」。最近ロンドンで開かれたセキュリティリーダー会議で、大変尊敬されている昔馴染みの最高情報セキュリティ責任者（CISO）が嘆いていました。 「おそらく経営陣がCISOに興味を持たなかったり、役に立つと思わなかったりしているからでは」と水を向けると、「CISOが問題なのではなく、経営陣が自社のことを一番よく知っていると思っていて、CISOの助けを求めていないことが問題だ」という興味深い反応が返ってきました。
どうも、少し疎外感が見て取れます。現実問題としては、関心の有無ではなく、関係性が問題なのです。
ビジネス現場におけるテクノロジーには、何年も前からイメージの問題が付きまとってきました。高価、理解しにくい、使いにくい。敵対的。威嚇的。しかし、かつてはテクノロジーは会社を支えるだけの贅沢品だったのが、今やテクノロジーは会社そのものになっているのです。会社に代わってテクノロジーを管理するチームが作られ、セキュリティのスタッフと組んで、安全性を確保するようになりました。会社はテクノロジーの仕組みにはほとんど関心を持たずすっかり任せっきりで必要なときや何か壊れたときだけ、チームに声を掛けました。そして、長い間、これで十分だったのです。
テクノロジーの利用者は今、その力を実感しています。しかし、まだまだ知識格差が残ります。リスクもそうですが。
テクノロジーは成熟しました。技術革新によってテクノロジーは神秘を解かれ、使いやすくなり、利用者には力が与えられました。 もはや、テクノロジーチームやセキュリティチームに依存せずに、物事を進めることができるようになりました。
ところが、時限爆弾がチクタク鳴っているようです。
最新の使いやすいテクノロジーも、拙速で不注意な導入をすると、ビジネス上で制御不能なリスクをもたらします。ちょうど小さな子供に電動工具を与えて立ち去るようなもので、サポートや監視がなければ、結果は危険なものになる可能性が高いのです。ビジネスリスクについても同じことが言えます。導入したテクノロジーは会社に損害を与えるか、もっと悪い場合には、犯罪者に悪用される可能性があります。IBMの調査によると、このような悪用により、2021年に世界の産業界が被ったデータ侵害1件あたりの損失は、平均424万ドルでした。
ビジネスやテクノロジーとセキュリティの間には、言葉の壁があります。これは
もう昔からある問題です。テクノロジーやセキュリティのスタッフは、ビジネス
言語を話すのが苦手なので、ほとんどの人はわざわざビジネス言語で話してみようともしません。そう、まるで、外国人レストラン経営者が困惑してるというのに、英国人観光客が英語で怒鳴っているようなものです。技術者でもなければ技術用語は理解できず、スタッフももどかしさを感じ、怯んでしまうのです。そのため、どちらもお互いを疎ましく思い、やりとりをしない方が楽に思えて来るのです。
テクノロジーとセキュリティのリーダーは、これまで以上に経営陣と密接に連携する必要があり、またデジタルトランスフォーメーションも減速する兆しを見せない現在、連携不足が真に問題となっているのです。悲劇的なのは、テクノロジーチームもセキュリティもチーム皆が至極やる気があるのに、経営者から忘れられた存在なのです。少なくとも、会社がトラブルに見舞われ、その困難な事態の収拾に当たるよう命ぜられるまでは。それまで、経営陣は足を踏み鳴らして怒りに震え、当たり散らし、よりによって障害を防ぐのに役立ったはずの、まさにその人たちを責め立てているという訳です。
シフト・レフトに早めに取り組む。
「予防は治療に勝る」といいます。潜在的なリスクや問題が早期に発見されればされるほど、解決が容易になり、何か悪いことが起こる可能性は大幅に減少します。このプロアクティブなコンセプトは「シフト・レフト思考」と呼ばれ、ビジネスチームとテクノロジーチームが一体となって取り組んでいれば可能なものです。そうでない場合は、プロアクティブな関係ではなく、リアクティブな押っ取り刀的な関係になってしまい、火災予防というよりは消防士的な存在になってしまいます。
この課題に対処するには、ステークホルダー管理初めの一歩、をそのまま実践することが必要です。セキュリティリーダーは、時間をかけてステークホルダーを理解し、その業務について学ぶ必要があります。好奇心を持ち、質問し、会社の事業内容に関心を持つことです。そうすることで、会社に関する会話、つまり自分たちが果たすべき役割を見極めることができるのです。
規制当局のように振る舞い、規則や規制の陰に隠れてしまうような時代は終わりを告げました。現代的なビジネスにおけるセキュリティ管理のアプローチとしては、無駄なことなのです。「このようにしなければならない」「そのようなやり方はできない」と言うのではなく、「そうですね、それで...」と会話することで、より友好的で引き込まれる口調になると思われます。セキュリティリーダーにとって、経営陣に投げかけるべき最良の質問は、ずばりこれです。「あなたが成功するために、私は何をすればよいのでしょうか」。
ビジネスがなければ、テクノロジーもセキュリティも必要ありません。皆がサイロで活動していては、誰も勝てません。セキュリティリーダーは、長年このように働いてきました。しかし、今こそ、情報技術の地下室から抜け出して、「現実の」ビジネスの世界の課題を理解し、真の価値を発揮する時なのです。
関係改善は相互協力の賜物。
経営陣にとって、セキュリティリーダーに関係改善の全ての責任を負わせるのは簡単なことです。また一方では、経営陣もそれほど慌てて改善しなくてもいいのでは、と思うかもしれません。
2002年のことですが、米国議会はサーベンス・オクスリー法を導入し、財務の虚偽報告の陰に隠れていた質の悪い取締役会から投資家を守るための保護策を打ち出しました。取締役会の多くが信頼できる財務スキルを欠いていたため、同法はこれを改革しようと、取締役会が財務データを理解する能力を証明するよう要求しました。取締役会は、自身のスキルセットにも、財務部門との関係構築にも対応せざるを得なかったのです。
歴史は繰り返されようとしているのかもしれません。米国証券取引委員会（SEC）が上場企業に対し、サイバーセキュリティに対する取締役会の理解度を開示するよう求めた動きは、サイバーセキュリティに対する取締役会責任の否認を防ぐ上で一定の効果があると思われます。専門家の多くは、これが2002年に見られたような変化を引き起こす可能性があると考えています。IBMの元幹部で同社取締役のロドニー・アドキンスが最近指摘していたように、役員室はもはやスキル不足によるもっともらしい否認権の世界に身を置くことはできないのです。つまり、「取締役会のスキルは、マーケットの流れを反映する必要がある」のです。
これは、セキュリティリーダーと取締役会のメンバー双方にとって好機になるかもしれません。取締役会は、セキュリティリーダーと協力して、セキュリティとリスクを理解することに意欲的になるでしょう。そうなると経営陣とセキュリティチームの間のプロアクティブなシフト・レフト思考が活性化するでしょう。セキュリティリスク管理が、最終的には、共有の責任として認識されることになるでしょう。
ビジネスにおけるセキュリティとリスクの管理に対する、そのアプローチの仕方を、より人を惹きつけ、ビジネスを志向するものに変えなければ、セキュリティリーダーは絶滅危惧種のリストに載ってしまうかもしれません。経営陣も同様に、セキュリティはすべての人の責任であり、無知のままでは済まされないことを理解する必要があります。双方が努力すれば、誰もが恩恵を受けられる美しい関係の始まりとなるかもしれません。誰かが最初の一歩を踏み出す必要がありますが、セキュリティリーダーは、最初に手を差し伸べるのにふさわしい立場にいるのです。
（引用おわり）
さて、いかがでしたでしょうか。CISOの理想形が、どんどん理系のイメージから文系の方に移っていくような気もしますが、私自身は、うんうん、と頷きながら読みました。
とくに、デジタルトランスフォーメーションが進む中、セキュリティリーダーだけでなく、データサイエンティストやデザイナー、ソフトウェアエンジニア、ビジネスアーキテクトなど、横文字系の高額報酬が当たり前という顔をした人々も社内に入って来る状況で、CISOも生き残りをかけて存在感を発揮しなければならない、という面もあるでしょう。特にパフォーマンス（産む価値）と報酬が結びつく世界では、誰がパワーを持っているかをしっかり意識して、存在価値をみずから示していかないといけないのはムベなるかなです。
いずれにせよ、こういう潮の変わり目は、ポールさんの言う通り、好機なのでしょう。さて、元気を出して、世界の舞台を視野に、まずは弁論術の本でも繙くことにしましょうか。
小原：hiro.ohara@securityforum.org
