サイバーセキュリティへの投資がCFOの優先事項に　財務の視点では何をチェックする？

サイバー攻撃やサイバーリスクが増え続けるにつれ、サイバーセキュリティに対する経営幹部の意識が高まっている。最高財務責任者（CFO）でさえ、サイバーセキュリティに意識を向けるよう求められている。

公開 2018年03月26日 05時00分

著者

Mekhala Roy

[TechTarget]

印刷する

CFOもサイバーセキュリティに関心を

　IBMのセキュリティソリューション部で製品マーケティング部門のディレクターを務めるスムカ・テンドルカール氏によると、現在のCFOは大きく2つに分類されるという。1つはサイバーセキュリティへの投資をコストと見なすCFO、もう1つはこうした取り組みが自社にとっての優位性となり得ることを理解しているCFOだ。

　後者のCFOは、財務責任者という枠組みを超えて、セキュリティへの取り組みを数値化しようとしている。だが、それは難しいことだと同氏は話す。

併せて読みたいお勧め記事

サイバーセキュリティ最新動向

サイバー犯罪の現状を把握する

　「（後者の）CFOは、自身が正しい行動を取っているか、適切な部分に投資しているかどうかを他の業界と比べて判断する方法を探っている。疑似的に敵対勢力を作り、実際の攻撃を受ける前に自社の弱点を探り出すのがこのタイプのCFOだ」（テンドルカール氏）

　10年前、CFOの役割の大半は、財務のリスクをどのように管理するかだった。だが、現代の企業が直面しているのは新しい種類のリスクだ。こう語るのは、サイバーセキュリティの検証、アドバイスを実施するBitSight TechnologiesのCFOブライアン・コーエン氏だ。同氏は、最近開催されたMIT Sloan CFO Summit（マサチューセッツ工科大学でのCFO会議）で共同パネリストを務めた。

　「機会損失によって利益を失うこととサイバーセキュリティ被害の影響は、時価総額に及ぼすダメージの観点で同程度の影響がある」と同氏は語る。

　まずは企業のリスクプロファイル（資産やプロジェクト、個人が直面するリスク分析評価）を理解することが、どのようなビジネスであっても重要だとコーエン氏は助言する。サイバーセキュリティへの投資はCFOの優先課題だが、完全無欠のソリューションだと売り込むベンダーには注意が必要だ。

　「確実に安全を確保するものなどない。結局一番重要になるのは、自身を包み隠さず、正直になり、適切な対話を行うようにすることだ」（コーエン氏）

　MIT Sloan CFO summitのプレゼンテーションで共同パネリストを務めたフォン・リー氏（BI基盤製品を販売するMicroStrategyのCFO）は、情報セキュリティ最高責任者（CISO）を雇ってサイバーセキュリティへの投資に関する意見を聞き、今後の方針を決めるよう助言している。

　一方で、サイバーセキュリティへの「正しい投資額」を算出することは難しい、と専門家は口をそろえる。

　「正しい投資額の算出ができればそれが一番だ。だが大切なのは、この取り組みを積極的に進める専門家を作ることだ。そのためにまずはIT投資の5～10％をサイバーセキュリティに費やしてはどうだろう。悪くはないはずだ」（リー氏）

　同氏は続けてサイバーセキュリティの投資から、企業が何かを得られているか検証することも重要だと話す。例えばインシデントやフィッシング攻撃は減っているか。従業員への教育機会は増えているかなどだ。サイバーセキュリティ投資額が適切か否か判断する参考になるだろう。

　コーエン氏によると、企業に必要なセキュリティは日々変化する可能性があるため、サイバーセキュリティ予算を四半期ごとに見直すだけでは不十分だという。CFOは常に、リスクを評価し、採用したツールや施策に効果が出ているかを考えるべきだと同氏は言う。

　保護を提供するために、妥当な範囲内でどのような施策が必要かを明らかにするのは管理者の役割だ。問題は何かを把握し、その問題を解決、管理する方法を理解して、継続的な評価と管理に最善を尽くすのがCFOだとコーエン氏は語る。

印刷する