Gartnerのサイバーセキュリティ担当でCISOのアッシュ・アフージャ氏はこう話す。「一部のCISOは、経営戦略を重視すると同時に、サイバーセキュリティを自社の戦略に組み込んでいる。多くのCISOが同じ方針をとりつつあり、他の経営幹部との密接な関係を築こうとしている」

　メリーランド大学院サイバーセキュリティテクノロジープログラムの元CIO兼議長であり「Cybersecurity Leadership」の著者であるマンスール・ハシブ氏は「CISOは、自社の使命と直面するリスクへの対策に沿った、戦略的計画を策定する必要がある」と話す。CISOはこの計画を策定するときに、セキュリティチームが組織にもたらす価値を明確にしなければならない。

　ハシブ氏は「戦略的計画を立てることは、CISOが必要とするリソースを得るのにも役立つ。その結果、組織が必要とするセキュリティプログラムを提供できるようになる。計画を構築すると、必要なものをこの枠組みの中で実行することができるようになり、新しい脅威への個別の対処は不要になる」と付け加えた。

2．国際的な規制

　企業とそのCISOは、既存の規制と新しい法律への準拠も2019年に取り組む課題リストの上位に入れたいと考えている。その多くが、プライバシーとデータ侵害に対する人々の関心の高まりに応じて、欧州連合（EU）の一般データ保護規則（GDPR）のような法律の施行が加速すると予想している。

　「2019年の全く新しい課題ではないが、セキュリティとプライバシーの国際的な規制への対応の必要性が高まり、そのための課題が増えると予想している。GDPRが登場したことにより、厳格なコンプライアンス基準を制定するための基準としてこれが使用されるようになっている。カリフォルニア州の消費者個人情報保護法は、2020年1月に施行される。今後数年間で同様の法律がさらに制定されると予想した方がいい」と、データ管理サービス企業DruvaのCISO、トム・コンクリン氏は言う。

　コンクリン氏は、このような規制で企業の義務がより複雑になり、新しい基準を満たす必要が生じると説明する。企業は全面的なセキュリティ強化を余儀なくされることになる。「セキュリティチームとITチームは、組織に対するリスクを完全に捉え、企業データがどこで処理されているのか、どのように使用され、どのように保護されているのかを知っておく必要がある」（コンクリン氏）

3．クラウドのセキュリティ

　ITのより多くの要素がクラウドに移行しても、セキュリティは引き続き優先事項となる。

　「クラウドセキュリティで特に重視すべき課題は、ネットワークセキュリティの向上と、IDとアクセス管理の慣行の改善だ。業務システムへのアクセス元と接続ポイントが社外に移るにつれて、これらの課題がさらに重要度を増してくる。このような作業をする際には、レガシーシステムのセキュリティ確保も忘れてはならない」とセキュリティのリーダーたちは語る。

　コンクリン氏は「より多くのクラウドサービスを利用する状況に移行しつつあるが、旧来のオンプレミスのデータ処理システムはまだ存在している。セキュリティチームはこの両方にエキスパートとして対処する必要がある」と述べる。

4．人員配置

　Highmark HealthのCISO、オマール・F・カワジャ氏は、125人のメンバーからなるチームのサポートが最優先事項だという。「チームメンバーをサポートすれば、チームは期待に応えてくれる。そしてチームが正しいことを実行すれば、顧客の満足とビジネスの成功につながる」と同氏は語る。

　カワジャ氏は、人事的な課題はCISOの優先事項の上位にあるべきだと考える。従業員に対する質の高いサポートの必要性について、同氏は医療機関での5年間の業務経験から学んだ。3年前の同社スタッフの離職率は、33％から50％だった。これは、セキュリティ専門家の場合平均的な値だ。現在、同氏が継続雇用したいと考えている従業員の離職率は5％未満だという。カワジャ氏は、従業員とのコミュニケーションを深め、人的リスクを察知するために設計したポリシーがうまく機能していると話す。

　カワジャ氏は、セキュリティに関する実務的な処理のために、必要な権限をマネジャーとスタッフに与えている。そうすることで、CISOとしての主要な役割である戦略的要素により集中している。「これが、適材適所の人材配置により最大の能力を発揮してもらうための施策だ」と同氏は付け加える。

5．新しい技術

　CISOはセキュリティの目標を達成するために、より新しいテクノロジーに注目していると、Gartnerのアフージャ氏は述べた。新しいテクノロジーには、人工知能、機械学習、自動化とオーケストレーションなどが挙げられる。

　インターネットセキュリティ会社WebrootのCISOであるゲリー・ヘイスリップ氏にとって、セキュリティプロセスにより多くのテクノロジーを導入することは、優先事項の1つだ。「全てのデータを整理して、問題のあるデータを識別するためのルールを適用したオーケストレーションエンジンを準備している。次に、複数のテクノロジーを組み合わせてダッシュボードを作成する。これにより、問題あるデータのリスクレベルを可視化して、内容に応じたサービスチケットやSMSによるアラートメッセージを発行することができる。現在手動で行っている処理は、この技術で自動化できる」と同氏はいう。

6．脅威対応と修復

　Gartnerのアナリストは、セキュリティ予算の対象を、保護、監視と検出、対応と修復の3つに分離することを推奨している。Gartnerのセキュリティ／リスク管理担当シニアプリンシパルのサム・オーヤイー氏は「CISOは、脅威の排除にのみ注力するのではなく、脅威に直面した際の対応と修復に投資して、不可避の事態が発生したときに対応できるようにする必要がある」と説明する。

7．責任範囲の拡大

　オーヤイー氏によると、CISOは、自身の責任範囲が幾つかの面で拡大していることも認識しなければならないという。「サプライヤーやサードパーティーのリスクなどにも対処する必要がある。侵害を受けた組織内部の脆弱（ぜいじゃく）性だけでなく、パートナーのセキュリティプロファイルの期限切れが原因で生じた重大な侵害もあった」と同氏は語る。

　このような現実を考慮して、CISOは、サードパーティーのセキュリティ評価も責任範囲に含むようにしている、と同氏はいう。CISOには、自社のセキュリティプロファイルをサードパーティーと共有する責任もある。「企業は、他企業との共同作業を開始する前に、他企業による特定の認証や要件の提示を求められている」とオーヤイー氏は説明する。

8．大規模な攻撃

　主な懸念事項のもう1つは、攻撃の規模の拡大だ。「私が懸念している最大の問題の1つは攻撃の規模だ。攻撃の結果、多くの損害が出ることになるのは時間の問題だ」と、Webrootのヘイスリップ氏は述べた。自動化とオーケストレーションの利用はこの脅威に対抗するのに役立つ、と同氏は考えている。これらのテクノロジーによって、セキュリティチームが真の脅威のみに集中し、誤ったアラームに対応する無駄な時間を排除できる。またサイバーセキュリティについて情報発信し、自社の従業員、ひいては社会全体に訴求することで、大規模な攻撃を阻止することや、少なくとも攻撃の影響を減らすための対策につなげることを、同氏は望んでいる。

9．データの取り扱い

　Highmark Healthのカワジャ氏は「幾つかの報告書によると、組織が保管するデータのほぼ50％は無駄あるいは無価値だと推定されている。組織が保管する不要なデータを削除することは、CISOの優先事項の1つだ」と話す。

　他のセキュリティ専門家は、強力なデータ保護施策が、CISOと組織にとって優先事項であると述べた。その好例として、Gartnerのアフージャ氏は「増大する規制に合わせてデータを最適に保護する方法について、CISOと法務部門が協力する組織もある」と述べた。

10．基盤の強化

　Gartnerのオーヤイー氏によると、多くのCISOは基本的なセキュリティに関する、強力なポリシーと具体的な対策の策定に苦労しているという。これらは、依然としてCISOの優先事項のままになっている。