セキュリティに関する「役員プレゼンテーション」を台無しにする“5つの失言”（1/2 ページ）

CIO（最高情報責任者）やCISO（最高情報セキュリティ責任者）が役員会でサイバーセキュリティに関するプレゼンテーションをすることが増えている。そうした場での5つの“べからず”とは？

公開 2016年07月06日 15時01分

著者

Jeremy Bergsman

[TechTarget]

印刷する

CEBのWebサイト《クリックで拡大》

　企業の大規模な情報流出が度々発生し、メディアを賑わせてきたことから、世界中の企業の役員にとってサイバーセキュリティはリスク管理上、大きな問題となっている。取締役会でプレゼンテーションを行うことは、個人として、職業人として成長する機会になるが、詳細なサイバーセキュリティ情報の報告は、ほとんどのIT幹部にとって経験のない試みだ。サイバーセキュリティは従来、取締役にとって優先課題ではなかったからだ。

　サイバーセキュリティに注目が集まるのはエキサイティングだが、リスキーでもある。IT幹部は、取締役の信頼を勝ち取ろうと奮闘しながらも、不首尾に終わることがよくある。プレゼンテーションの失敗が大きな原因だ。

　筆者が勤務するCEBは、CIO（最高情報責任者）やCISO（最高情報セキュリティ責任者）、取締役向けに100件以上のコンサルティングを行ってきた。そうする中で、IT幹部が取締役会で情報リスクに関するプレゼンテーションを行う際に、よくやる5つの間違いを発見した。また、優れたIT幹部がそうした間違いをどのように避け、取締役へのプレゼンテーションを首尾よく作成して実施し、取締役からの信頼を築いているかも学んだ。以下にその要約を示す。

国内の標的型攻撃動向

広がる標的型攻撃の被害

これからのセキュリティ部門の役割

間違い1：意思決定における取締役会の関与の役割を誤解する

　IT幹部は、プレゼンテーションによって経営上の意思決定を促進しようとすると、取締役へのプレゼンテーションで失敗する。そうした意思決定事項には、例えば予算設定、トレードオフを伴う投資に関する判断、戦略的プロジェクトに関する外部指導の依頼などがある。こうした経営上の決定は、最高責任者クラスの役員の仕事であり、取締役が行うことではない。むしろ、取締役の役割は、信認義務を果たしてリスク管理を徹底することにある。これは主に、経営幹部の力量を評価し、企業が適切な経営チームを擁することで達成される。

　こうしたことから、IT幹部が取締役会でのプレゼンテーションにおいて、情報セキュリティに関する経営上の決定を取締役に求めると、失敗する可能性が高い。優れたIT幹部は代わりに、プレゼンテーションのあらゆる側面を、リーダーとしての信頼につながるように設計しておく。その第一歩は、取締役会の役割に加え、取締役の優先課題と立場を明確に理解していることを、端的に伝えることだ。

間違い2：プレゼンテーションでまとまった全体像を示さない

　IT幹部は取締役へのプレゼンテーションにおいて、さまざまなフレームワークを使用することが多い。例えば、「NISTサイバーセキュリティフレームワーク」を使ってセキュリティ管理の成熟度について論じ、「サイバーキルチェーン」を使ってニュースにおける関連する侵害について説明し、カスタムERM（エンタープライズリスク管理）フレームワークを使って企業が直面している最大のセキュリティ脅威を解説する、といった具合だ。幾つものフレームワークを使うと話にまとまりがなくなり、取締役会を混乱させてしまい、発表者への取締役の信頼も損なわれてしまう。

　取締役会でのプレゼンテーションが最も成功するのは、単一のフレームワークを使って全ての説明を行うことで、一貫性が確保され、明確さが向上し、適切なレベルの議論が喚起される場合だ。例えば、単一のフレームワークを使って以下のことが行える。

取締役会に自社のセキュリティの最新の現状を知らせる
情報セキュリティ部門の戦略計画を説明する
セキュリティガバナンスに関する議論の枠組みを設定する
情報セキュリティ部門のプロジェクトの優先順位を概説する
リスクの現状を伝え、ニュースになった侵害事件を解説する

間違い3：誤った指標を提示する

　IT幹部はプレゼンテーションに、自分たちの使っている指標だからという理由で、業務上の指標を盛り込むことが多い。しかし、それらの指標は、集計されて“ビジネス言語”に翻訳されていても、取締役にとって役に立つことはめったにない。業務レベルのセキュリティ対策の報告は取締役に安心感を与えたり、その信頼を勝ち得る効果はほとんどない。取締役は、業務上の指標を解釈や翻訳によって、情報リスク管理の高度な理解につなげることができないからだ。

　また、情報リスクを取締役会にとって分かりやすくする目的で、リスクを定量化して示そうとする（多くの場合、金額に換算して）ことも間違いだ。このアプローチもプレゼンテーションの失敗につながるのは、リスクの客観的な定量化は不可能なだけでなく、誤解を招きがちだからだ。

　優れたIT幹部は、業務上の指標やリスクの定量化の欠点を認識している。こうした幹部はこれらに焦点を当てるのではなく、統制管理と機能的な成熟に基づく体系的なリスク管理アプローチを報告している。言い換えれば、セキュリティ機能の成熟度の客観的なビューを提供し、それを他社と比較し、さらに成熟度の時系列変化も提示している。リスク情報のプレゼンテーションは、常に抽象度の高いレベルで行われ、意思決定を方向付けるためではなく、コンテキストを示すために使用されている。

次ページへ優れたIT幹部は悲観一辺倒や楽観一辺倒に傾かない