CIOが信頼を勝ち取るには？
セキュリティに関する「役員プレゼンテーション」を台無しにする“5つの失言”（1/2 ページ）
CIO（最高情報責任者）やCISO（最高情報セキュリティ責任者）が役員会でサイバーセキュリティに関するプレゼンテーションをすることが増えている。そうした場での5つの“べからず”とは？
CEBのWebサイト《クリックで拡大》
企業の大規模な情報流出が度々発生し、メディアを賑わせてきたことから、世界中の企業の役員にとってサイバーセキュリティはリスク管理上、大きな問題となっている。取締役会でプレゼンテーションを行うことは、個人として、職業人として成長する機会になるが、詳細なサイバーセキュリティ情報の報告は、ほとんどのIT幹部にとって経験のない試みだ。サイバーセキュリティは従来、取締役にとって優先課題ではなかったからだ。
サイバーセキュリティに注目が集まるのはエキサイティングだが、リスキーでもある。IT幹部は、取締役の信頼を勝ち取ろうと奮闘しながらも、不首尾に終わることがよくある。プレゼンテーションの失敗が大きな原因だ。
筆者が勤務するCEBは、CIO（最高情報責任者）やCISO（最高情報セキュリティ責任者）、取締役向けに100件以上のコンサルティングを行ってきた。そうする中で、IT幹部が取締役会で情報リスクに関するプレゼンテーションを行う際に、よくやる5つの間違いを発見した。また、優れたIT幹部がそうした間違いをどのように避け、取締役へのプレゼンテーションを首尾よく作成して実施し、取締役からの信頼を築いているかも学んだ。以下にその要約を示す。
間違い1：意思決定における取締役会の関与の役割を誤解する
IT幹部は、プレゼンテーションによって経営上の意思決定を促進しようとすると、取締役へのプレゼンテーションで失敗する。そうした意思決定事項には、例えば予算設定、トレードオフを伴う投資に関する判断、戦略的プロジェクトに関する外部指導の依頼などがある。こうした経営上の決定は、最高責任者クラスの役員の仕事であり、取締役が行うことではない。むしろ、取締役の役割は、信認義務を果たしてリスク管理を徹底することにある。これは主に、経営幹部の力量を評価し、企業が適切な経営チームを擁することで達成される。
こうしたことから、IT幹部が取締役会でのプレゼンテーションにおいて、情報セキュリティに関する経営上の決定を取締役に求めると、失敗する可能性が高い。優れたIT幹部は代わりに、プレゼンテーションのあらゆる側面を、リーダーとしての信頼につながるように設計しておく。その第一歩は、取締役会の役割に加え、取締役の優先課題と立場を明確に理解していることを、端的に伝えることだ。
間違い2：プレゼンテーションでまとまった全体像を示さない
IT幹部は取締役へのプレゼンテーションにおいて、さまざまなフレームワークを使用することが多い。例えば、「NISTサイバーセキュリティフレームワーク」を使ってセキュリティ管理の成熟度について論じ、「サイバーキルチェーン」を使ってニュースにおける関連する侵害について説明し、カスタムERM（エンタープライズリスク管理）フレームワークを使って企業が直面している最大のセキュリティ脅威を解説する、といった具合だ。幾つものフレームワークを使うと話にまとまりがなくなり、取締役会を混乱させてしまい、発表者への取締役の信頼も損なわれてしまう。
取締役会でのプレゼンテーションが最も成功するのは、単一のフレームワークを使って全ての説明を行うことで、一貫性が確保され、明確さが向上し、適切なレベルの議論が喚起される場合だ。例えば、単一のフレームワークを使って以下のことが行える。
- 取締役会に自社のセキュリティの最新の現状を知らせる
- 情報セキュリティ部門の戦略計画を説明する
- セキュリティガバナンスに関する議論の枠組みを設定する
- 情報セキュリティ部門のプロジェクトの優先順位を概説する
- リスクの現状を伝え、ニュースになった侵害事件を解説する
間違い3：誤った指標を提示する
IT幹部はプレゼンテーションに、自分たちの使っている指標だからという理由で、業務上の指標を盛り込むことが多い。しかし、それらの指標は、集計されて“ビジネス言語”に翻訳されていても、取締役にとって役に立つことはめったにない。業務レベルのセキュリティ対策の報告は取締役に安心感を与えたり、その信頼を勝ち得る効果はほとんどない。取締役は、業務上の指標を解釈や翻訳によって、情報リスク管理の高度な理解につなげることができないからだ。
また、情報リスクを取締役会にとって分かりやすくする目的で、リスクを定量化して示そうとする（多くの場合、金額に換算して）ことも間違いだ。このアプローチもプレゼンテーションの失敗につながるのは、リスクの客観的な定量化は不可能なだけでなく、誤解を招きがちだからだ。
優れたIT幹部は、業務上の指標やリスクの定量化の欠点を認識している。こうした幹部はこれらに焦点を当てるのではなく、統制管理と機能的な成熟に基づく体系的なリスク管理アプローチを報告している。言い換えれば、セキュリティ機能の成熟度の客観的なビューを提供し、それを他社と比較し、さらに成熟度の時系列変化も提示している。リスク情報のプレゼンテーションは、常に抽象度の高いレベルで行われ、意思決定を方向付けるためではなく、コンテキストを示すために使用されている。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
市場調査・トレンド
数百万台規模のデータで判明、企業のIT環境に潜む「見えない課題」とは -
製品資料
クラウド開発環境で高まる運用の課題、選定において重要な判断軸とは？ -
製品資料
Oracle DatabaseをAI活用基盤へ、クラウド移行を阻む4つの課題と解決策 -
市場調査・トレンド
数百万台規模のデータで判明、企業のIT環境に潜む「見えない課題」とは -
製品資料
サーバ高密度化を阻む「見えない配線問題」 UTPやDACの限界を超える選択肢は？
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
Netflixのバックエンドは「ほぼJava」 3000超のアプリを支える開発基盤の裏側
-
2
月額91.3万円のAIエンジニア システムアーキテクト級に並んだ単価の中身
-
3
ランサムウェア被害額が平均3.5億円に拡大 なぜ企業の復旧は遅れるのか
-
4
「企業内サーバ環境の利用実態」に関するアンケート
-
5
ISMSの“コンサル丸投げ”が招く数千万円の無駄 NTTドコモビジネスの脱出劇
-
6
ブラックボックス化したExcelマクロの解読 生成AI「IBM Bob」で95％削減
-
7
逆効果になることもある「レガシーシステム刷新」 失敗しないための知恵とは？
-
8
「ERP（統合基幹業務システム）の導入・活用」に関するアンケート
-
9
IT製品の導入に関するアンケート「サーバ＆ストレージ」編
-
10
終わらない脆弱性対処に効く 「WAF」による“時間稼ぎ”の防衛術
ホワイトペーパーランキング PR
-
1
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
2
財務・会計はAI活用でどう変わる？ 調査で見えた変革の道筋
-
3
AIが「わざわざ使うツール」になっていない？ 業務で自然に使う導線にする秘訣
-
4
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
5
「脱Excel」か「Excel快適化」か？ 現場にやさしい業務改善の進め方
-
6
「結局、一部の人しか使わない」 AI活用が業務に定着しない根本的な理由
-
7
コスト分析で見る「デバイス復旧」の代償 損失額から導きだされた投資戦略とは
-
8
Macの安全神話は崩壊？ 最新の脅威動向から見えた攻撃のトレンドと有効な対策
-
9
ゼロトラストにおける「IDaaSの課題」と補完すべき重要機能とは？
-
10
情報セキュリティ対策早分かりガイド：25の自社診断で弱点と解決策を理解
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー