CIOが信頼を勝ち取るには？
セキュリティに関する「役員プレゼンテーション」を台無しにする“5つの失言”（1/2 ページ）
CIO（最高情報責任者）やCISO（最高情報セキュリティ責任者）が役員会でサイバーセキュリティに関するプレゼンテーションをすることが増えている。そうした場での5つの“べからず”とは？
CEBのWebサイト《クリックで拡大》
企業の大規模な情報流出が度々発生し、メディアを賑わせてきたことから、世界中の企業の役員にとってサイバーセキュリティはリスク管理上、大きな問題となっている。取締役会でプレゼンテーションを行うことは、個人として、職業人として成長する機会になるが、詳細なサイバーセキュリティ情報の報告は、ほとんどのIT幹部にとって経験のない試みだ。サイバーセキュリティは従来、取締役にとって優先課題ではなかったからだ。
サイバーセキュリティに注目が集まるのはエキサイティングだが、リスキーでもある。IT幹部は、取締役の信頼を勝ち取ろうと奮闘しながらも、不首尾に終わることがよくある。プレゼンテーションの失敗が大きな原因だ。
筆者が勤務するCEBは、CIO（最高情報責任者）やCISO（最高情報セキュリティ責任者）、取締役向けに100件以上のコンサルティングを行ってきた。そうする中で、IT幹部が取締役会で情報リスクに関するプレゼンテーションを行う際に、よくやる5つの間違いを発見した。また、優れたIT幹部がそうした間違いをどのように避け、取締役へのプレゼンテーションを首尾よく作成して実施し、取締役からの信頼を築いているかも学んだ。以下にその要約を示す。
間違い1：意思決定における取締役会の関与の役割を誤解する
IT幹部は、プレゼンテーションによって経営上の意思決定を促進しようとすると、取締役へのプレゼンテーションで失敗する。そうした意思決定事項には、例えば予算設定、トレードオフを伴う投資に関する判断、戦略的プロジェクトに関する外部指導の依頼などがある。こうした経営上の決定は、最高責任者クラスの役員の仕事であり、取締役が行うことではない。むしろ、取締役の役割は、信認義務を果たしてリスク管理を徹底することにある。これは主に、経営幹部の力量を評価し、企業が適切な経営チームを擁することで達成される。
こうしたことから、IT幹部が取締役会でのプレゼンテーションにおいて、情報セキュリティに関する経営上の決定を取締役に求めると、失敗する可能性が高い。優れたIT幹部は代わりに、プレゼンテーションのあらゆる側面を、リーダーとしての信頼につながるように設計しておく。その第一歩は、取締役会の役割に加え、取締役の優先課題と立場を明確に理解していることを、端的に伝えることだ。
間違い2：プレゼンテーションでまとまった全体像を示さない
IT幹部は取締役へのプレゼンテーションにおいて、さまざまなフレームワークを使用することが多い。例えば、「NISTサイバーセキュリティフレームワーク」を使ってセキュリティ管理の成熟度について論じ、「サイバーキルチェーン」を使ってニュースにおける関連する侵害について説明し、カスタムERM（エンタープライズリスク管理）フレームワークを使って企業が直面している最大のセキュリティ脅威を解説する、といった具合だ。幾つものフレームワークを使うと話にまとまりがなくなり、取締役会を混乱させてしまい、発表者への取締役の信頼も損なわれてしまう。
取締役会でのプレゼンテーションが最も成功するのは、単一のフレームワークを使って全ての説明を行うことで、一貫性が確保され、明確さが向上し、適切なレベルの議論が喚起される場合だ。例えば、単一のフレームワークを使って以下のことが行える。
- 取締役会に自社のセキュリティの最新の現状を知らせる
- 情報セキュリティ部門の戦略計画を説明する
- セキュリティガバナンスに関する議論の枠組みを設定する
- 情報セキュリティ部門のプロジェクトの優先順位を概説する
- リスクの現状を伝え、ニュースになった侵害事件を解説する
間違い3：誤った指標を提示する
IT幹部はプレゼンテーションに、自分たちの使っている指標だからという理由で、業務上の指標を盛り込むことが多い。しかし、それらの指標は、集計されて“ビジネス言語”に翻訳されていても、取締役にとって役に立つことはめったにない。業務レベルのセキュリティ対策の報告は取締役に安心感を与えたり、その信頼を勝ち得る効果はほとんどない。取締役は、業務上の指標を解釈や翻訳によって、情報リスク管理の高度な理解につなげることができないからだ。
また、情報リスクを取締役会にとって分かりやすくする目的で、リスクを定量化して示そうとする（多くの場合、金額に換算して）ことも間違いだ。このアプローチもプレゼンテーションの失敗につながるのは、リスクの客観的な定量化は不可能なだけでなく、誤解を招きがちだからだ。
優れたIT幹部は、業務上の指標やリスクの定量化の欠点を認識している。こうした幹部はこれらに焦点を当てるのではなく、統制管理と機能的な成熟に基づく体系的なリスク管理アプローチを報告している。言い換えれば、セキュリティ機能の成熟度の客観的なビューを提供し、それを他社と比較し、さらに成熟度の時系列変化も提示している。リスク情報のプレゼンテーションは、常に抽象度の高いレベルで行われ、意思決定を方向付けるためではなく、コンテキストを示すために使用されている。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
事例
[株式会社キーエンス] PCが苦手でも自動化できる ポポラマーマなど4事例に学ぶ「ナビ搭載型RPA」活用 -
製品資料
[株式会社クレオ] IT部門を“価値創造組織”へ転換 IT管理プロセスの改革で戦略的リソースを確保 -
製品資料
[株式会社クレオ] Excel管理が限界に――ITサービス管理の脱・属人化と運用高度化を実現する方法 -
製品資料
[株式会社クレオ] 西武グループやイオングループも実践 事例に学ぶ「ITサービスデスク業務」改善 -
製品レビュー
[株式会社クレオ] 「使われないITシステム」から脱却 現場が求める業務改善を実現する方法
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
IBM iのブラックボックス化を打破 資産継承と進化を実現する「IBM Bob」の実力
-
2
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
3
「Windows」の不要なファイルを安全に消して容量を空ける方法
-
4
法務と開発者で「言葉が通じない」問題 トヨタやソニーが語るOSS管理の真実
-
5
情報漏えいはなぜ繰り返されるのか 今すぐ見直すべき「境界」
-
6
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
7
生成AIが普及しても「技術書」を手放せないエンジニアの本音
-
8
「IoT通信環境の構築・運用」に関するアンケート
-
9
「ネットワークインフラの現状と課題」に関するアンケート
-
10
鹿島建設のDXを阻む「10年前のAWS」 安全性と自由度を両立したモダナイズ
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
システムの保守がモダン化を阻む？ 「変えない判断」から脱却する方法とは
-
4
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
5
プログラミング不要で誰でも実現できる、ネットワーク運用管理の自動化とは
-
6
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
-
7
東大教授と考える、AI時代の「データ主権」「信頼性」「ガバナンス」の在り方
-
8
Linux初心者でも知らないとまずい「RHEL」「SLES」の違いとは？
-
9
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
10
ランサムウェア攻撃“究極の対策”はこれだ
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー