第4回 求められるリーダーシップ/シリーズ①経営リスクで考えるサイバーセキュリティの重要性 ～事業継続とレピュテーション～

【第4回】 求められるリーダーシップ

前回、サイバー攻撃による被害の影響は、セキュリティリスクがレピュテーションリスク（風評リスク）へつながると、よりインパクトが大きくなることをお伝えしました。
本テーマの最終回（第4回）では、そうしたリスクを認識しながらも、実際のところセキュリティ対策が思ったように進まないのはなぜか、その本質に迫ります。

セキュリティ対策の現状は

そして、皆さんの会社では、どのようにセキュリティ対策を始めていますか。
たとえば、こんな話も聞かれます。

• インターネットでおすすめの対策製品を検索して導入を検討する
• セキュリティ対策製品のベンダーから提案を受ける
• 今年度の予算が余ったので、後回しだった対策を実施する（予算消化のため）

3つ目の予算消化は論外としても、『リスクそっちのけの対策ありき』で進めていませんか。

本来必要なのは、現状の問題となるセキュリティリスクを適切に把握し、それに対処するためにセキュリティ対策を進めることです。そうしないと、せっかくの対策が的外れになってしまうかもしれません。
きわめて当たり前のことです。
その現状の問題を把握するのが、『リスクアセスメント』なのです。

対策はボトムアップでは進まない

次に脆弱性レベルとは、想定したリスクに対して、どの程度の守り（対策）ができているかです。対策の整備状況と考えることもできます。これは、脅威と比べて評価しやすいことが多いです。

最後に影響度レベルですが、これも評価が悩ましいはずです。想定したリスクが顕在化した際に、はたしてどのくらいの範囲にまで影響が及ぶかです。ランサムウェアの感染は、ネットワーク経由でどんどん拡散する可能性があります。
こうして考えると、先ほどの「12」（リスク値）に、どれほどの信憑性があるのでしょう。リスクアセスメントの結果をもとに、担当者がボトムアップでセキュリティ対策（投資判断）の稟議を回せば、幹部からいろいろ突っ込まれ、説明が苦しくなるはずです。
また近年、システム投資などに対して、ディスカウントキャッシュフロー法（DCF法）で投資対効果を評価することが多くなっています。投資で将来得られるキャッシュフローを現在価値に割り引き、その合計額から初期投資額を除いた正味現在価値（NPV）がプラスならGO（承認）です。

これと同じようにセキュリティ対策を考えると、そもそも対策がどのくらいのキャッシュフローを生むのか、計算するのが困難です。その上、根拠となるリスク値が微妙であれば、その計算の過程は（想定どころか）妄想です。

今こそ必要なトップの推進力

このように、一般的な投資の経済性計算では、セキュリティ対策への投資は組織的なコンセンサスを得るのが難しいのです。キャッシュを生まない対策の稟議書が、すんなり承認されることはありません。
はたして、どのように取り組めばいいのでしょうか？

本来リスクには、プラスの面とマイナスの面があります。わかりやすい例が、株価の上昇リスクと下落リスクです。また、株価は期待収益率などにより、ある程度のリターンも予測できます。
しかしながら、セキュリティリスクについては、基本的にはダメージを抑えるマイナス面のリスクだけであり、不確実性が非常に高いという特徴があります。
『起こるかどうかわからないが、もし起こったら多大な影響があるかもしれない』ということです。

こうしたセキュリティリスクに近いものといえば、まさに先が読めないビジネスへの経営リスクです。つまり、セキュリティリスクは経営リスクと同様に、トップダウンで実施を進める必要があるのです。不確実性の高いリスクへの対処は、経営判断で方向性を示さないと進みません。

これは、情報セキュリティマネジメントの国際規格である、ISO/IEC 27001（ISMS）の中でも、「リーダーシップ（5章）」として規定されています。経営トップのリーダーシップとコミットメントで、情報セキュリティへの戦略的な方向性を指揮し、組織的な活動を支援することを求めています。

おわりに

「経営リスクで考えるサイバーセキュリティの重要性」と題し、計4回にわたって説明をしました。サイバーセキュリティを事業継続とレピュテーションの面から経営リスクとして捉え、トップダウンで進めることの重要性について、ご理解いただけたでしょうか。
次回からは、新たなテーマがスタートします。「いまさら聞けないサイバーセキュリティの基本」と題し、セキュリティ対策の本質をお伝えしていきます。