CIOが信頼を勝ち取るには？
セキュリティに関する「役員プレゼンテーション」を台無しにする“5つの失言”（1/2 ページ）
CIO（最高情報責任者）やCISO（最高情報セキュリティ責任者）が役員会でサイバーセキュリティに関するプレゼンテーションをすることが増えている。そうした場での5つの“べからず”とは？
CEBのWebサイト《クリックで拡大》
企業の大規模な情報流出が度々発生し、メディアを賑わせてきたことから、世界中の企業の役員にとってサイバーセキュリティはリスク管理上、大きな問題となっている。取締役会でプレゼンテーションを行うことは、個人として、職業人として成長する機会になるが、詳細なサイバーセキュリティ情報の報告は、ほとんどのIT幹部にとって経験のない試みだ。サイバーセキュリティは従来、取締役にとって優先課題ではなかったからだ。
サイバーセキュリティに注目が集まるのはエキサイティングだが、リスキーでもある。IT幹部は、取締役の信頼を勝ち取ろうと奮闘しながらも、不首尾に終わることがよくある。プレゼンテーションの失敗が大きな原因だ。
筆者が勤務するCEBは、CIO（最高情報責任者）やCISO（最高情報セキュリティ責任者）、取締役向けに100件以上のコンサルティングを行ってきた。そうする中で、IT幹部が取締役会で情報リスクに関するプレゼンテーションを行う際に、よくやる5つの間違いを発見した。また、優れたIT幹部がそうした間違いをどのように避け、取締役へのプレゼンテーションを首尾よく作成して実施し、取締役からの信頼を築いているかも学んだ。以下にその要約を示す。
間違い1：意思決定における取締役会の関与の役割を誤解する
IT幹部は、プレゼンテーションによって経営上の意思決定を促進しようとすると、取締役へのプレゼンテーションで失敗する。そうした意思決定事項には、例えば予算設定、トレードオフを伴う投資に関する判断、戦略的プロジェクトに関する外部指導の依頼などがある。こうした経営上の決定は、最高責任者クラスの役員の仕事であり、取締役が行うことではない。むしろ、取締役の役割は、信認義務を果たしてリスク管理を徹底することにある。これは主に、経営幹部の力量を評価し、企業が適切な経営チームを擁することで達成される。
こうしたことから、IT幹部が取締役会でのプレゼンテーションにおいて、情報セキュリティに関する経営上の決定を取締役に求めると、失敗する可能性が高い。優れたIT幹部は代わりに、プレゼンテーションのあらゆる側面を、リーダーとしての信頼につながるように設計しておく。その第一歩は、取締役会の役割に加え、取締役の優先課題と立場を明確に理解していることを、端的に伝えることだ。
間違い2：プレゼンテーションでまとまった全体像を示さない
IT幹部は取締役へのプレゼンテーションにおいて、さまざまなフレームワークを使用することが多い。例えば、「NISTサイバーセキュリティフレームワーク」を使ってセキュリティ管理の成熟度について論じ、「サイバーキルチェーン」を使ってニュースにおける関連する侵害について説明し、カスタムERM（エンタープライズリスク管理）フレームワークを使って企業が直面している最大のセキュリティ脅威を解説する、といった具合だ。幾つものフレームワークを使うと話にまとまりがなくなり、取締役会を混乱させてしまい、発表者への取締役の信頼も損なわれてしまう。
取締役会でのプレゼンテーションが最も成功するのは、単一のフレームワークを使って全ての説明を行うことで、一貫性が確保され、明確さが向上し、適切なレベルの議論が喚起される場合だ。例えば、単一のフレームワークを使って以下のことが行える。
- 取締役会に自社のセキュリティの最新の現状を知らせる
- 情報セキュリティ部門の戦略計画を説明する
- セキュリティガバナンスに関する議論の枠組みを設定する
- 情報セキュリティ部門のプロジェクトの優先順位を概説する
- リスクの現状を伝え、ニュースになった侵害事件を解説する
間違い3：誤った指標を提示する
IT幹部はプレゼンテーションに、自分たちの使っている指標だからという理由で、業務上の指標を盛り込むことが多い。しかし、それらの指標は、集計されて“ビジネス言語”に翻訳されていても、取締役にとって役に立つことはめったにない。業務レベルのセキュリティ対策の報告は取締役に安心感を与えたり、その信頼を勝ち得る効果はほとんどない。取締役は、業務上の指標を解釈や翻訳によって、情報リスク管理の高度な理解につなげることができないからだ。
また、情報リスクを取締役会にとって分かりやすくする目的で、リスクを定量化して示そうとする（多くの場合、金額に換算して）ことも間違いだ。このアプローチもプレゼンテーションの失敗につながるのは、リスクの客観的な定量化は不可能なだけでなく、誤解を招きがちだからだ。
優れたIT幹部は、業務上の指標やリスクの定量化の欠点を認識している。こうした幹部はこれらに焦点を当てるのではなく、統制管理と機能的な成熟に基づく体系的なリスク管理アプローチを報告している。言い換えれば、セキュリティ機能の成熟度の客観的なビューを提供し、それを他社と比較し、さらに成熟度の時系列変化も提示している。リスク情報のプレゼンテーションは、常に抽象度の高いレベルで行われ、意思決定を方向付けるためではなく、コンテキストを示すために使用されている。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[キヤノンマーケティングジャパン株式会社] マンガで学ぶXDR／MDRのメリット、中小企業のセキュリティ強化になぜ有効か？ -
市場調査・トレンド
[キヤノンマーケティングジャパン株式会社] 有識者が語る、中堅中小企業に求められる最新のサイバーセキュリティ対策とは -
製品資料
[キヤノンマーケティングジャパン株式会社] マンガで解説：情シスの負担を減らす「MDRサービスのインシデント対応」の中身 -
市場調査・トレンド
[SANS Training Japan 合同会社] “知識”では守れない AI時代に問われる実戦力の身に付け方 -
製品資料
[株式会社イトーキ] 会議室不足を解決する「AI×データ」活用術
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
半数がブルーカラー転向を視野に？ ベテランエンジニアを追い込む“54歳の壁”
-
2
「Windows」の不要なファイルを安全に消して容量を空ける方法
-
3
Microsoft 365導入後も稟議は「Excelをメールで回覧」 承認が止まる理由
-
4
生成AIが普及しても「技術書」を手放せないエンジニアの本音
-
5
AIエージェントで「ERPの魔改造」復活の懸念 せっかくのクリーンコアが崩壊
-
6
Microsoft 365移行で露呈した標準機能の限界 地方銀行は上長承認や「脱PPAP」をどう実現？
-
7
増えすぎたAIエージェントが野良化 幹部の36％がインシデント発生時に隠したいと回答
-
8
Googleの業務向けAIエージェント「Gemini Agent」が登場 しかし課題は山積み
-
9
「アップグレードできないJava」をどう守る IBMとRed HatがAIで400件超修正
-
10
脱VMwareの前提が崩れる BroadcomのVDDK公開停止で確認すべき点
ホワイトペーパーランキング PR
-
1
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
2
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
-
3
最速72分でデータが流出？ 最新の脅威トレンドや侵入手法から分かった防衛策
-
4
「IT史に名を残すシステム障害」8選
-
5
2026年のサイバーセキュリティには何が必要か？ 最新データに学ぶ傾向と対策
-
6
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
7
SASE選定は「見極め力」で大きな差――本当に必要な製品を選ぶための6つの視点
-
8
マンガで学ぶXDR／MDRのメリット、中小企業のセキュリティ強化になぜ有効か？
-
9
脱VMwareに成功した企業は何をどう実践した？ 事例に学ぶ戦略立案＆実装のコツ
-
10
自社データから高精度な回答を生成、簡単に生成AIチャットボットを構築する方法
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー