大きなニュースになった事例、そしてそのために企業が大きな損失を被った事例はいくらでもある。Googleは2018年、情報流出の結果として、ソーシャルネットワーク「Google+」の閉鎖に追い込まれ、数十億ドル規模の投資が無駄になった。Uberは2016年の情報流出のために1億5000万ドルの罰金を命じられた。その大部分は、ハッカーに10万ドルを支払って事態を隠蔽（いんぺい）しようとしたことに対する罰金だった。もしも情報が流出した場合には、それを隠蔽しようとするのではなく、報告する方が望ましい。

　だが、サイバー攻撃は情報セキュリティに対する唯一の脅威ではなく、筆頭の脅威でさえない。われわれの調査では、情報流出の90％はソーシャルエンジニアリングが原因だったと分かっている。1カ月足らずの準備で重大なソーシャルエンジニアリング攻撃が実行されることもあり、そのうち半数以上の60％が成功している。

　アプリケーションの守りを固め、ウイルス対策ソフトウェアを全PCにインストールし、全社的な研修を行って、ソーシャルエンジニアリング攻撃に対する耐性を積極的に試さなければならない。CIOはまた、自社のネットワークに悪意を持ったハッカーがデータ盗聴用のスニッフィングプログラムを仕掛ける事態を想定して、社内の全サービスに暗号化を使い、独立系のセキュリティ組織にネットワークを監査してもらう必要がある。

　そうした対策を講じておけば、悪意を持ったインサイダーの脅威にも対抗できる。知的財産であれ、価格情報であれ、顧客や従業員の個人情報であれ、組織が情報流出の被害に遭うのは、外部からのハッキングよりも、社内の従業員の故意が原因になることの方が多い。

2. ガバナンスとコンプライアンスの不手際

　情報時代の商取引には、CIOのキャリアパスを脅かしかねない多数の規制が導入されている。財務報告の正確性を保証するサーベンス・オクスリー法であれ、消費者の情報を守るためのGDPRであれ、企業はあらゆる規制に対応する必要に迫られ、必然的にITシステムの管理が求められる。

　業界によっては、対応すべき規制の多さと多様さが原因で、量と条件の増大に伴い担当者がコンプライアンスに対してずさんになる「コンプライアンス疲れ」を引き起こすことが分かっている。コンプライアンス疲れはCIOが解雇される原因になるだけでなく、多額の罰金や訴訟、さらには刑事訴追によって会社の存続を脅かすような損害を生じさせかねない。

　同様の損害を引き起こすのが、社内のポリシーを把握して徹底させるシステムが存在しないガバナンスの不手際だ。それを最も如実に物語る事例として、Facebookは2013年のCambridge Analyticaにまつわるスキャンダルへの対応に関して体面が大きく傷ついた。その結果、Facebookの評判は急落し、信頼が失われて大量のユーザーが同プラットフォームを離れた。2018年第2四半期の決算発表を受けて同社の株価は暴落し、時価1500億ドルがわずか1時間半で消滅した。

　ガバナンスとコンプライアンスを手作業で管理することは不可能だ。CIOはビジネスプロセスにコンプライアンスを組み込み、ソフトウェアツールを使って自動化と管理を行わなければならない。