「デジタルビジネスは、皆さんの仕事にインターネットの出現以上のインパクトを与えるだろう」と、Gartnerのリサーチ担当副社長兼ディスティングイッシュトアナリスト（Distinguished Analyst）、ジョン・ジラード氏は語った。

　ジラード氏はGartnerの調査データを引用し、22％の企業が、「モノのインターネット」（Internet of Things、IoT）とも呼ばれる新たなインターネット接続デバイスのリスクを、ビジネス上の最大の懸念事項と位置付けていると述べた。さらに、2020年までにデジタルビジネスの60％が、大きなサービス障害に見舞われる見通しとの調査結果を紹介した。ITセキュリティチームが新技術や新しいユースケースにおけるデジタルリスクを管理できないからだ。

　ジラード氏は、米国家安全保障局（NSA）による監視活動をエドワード・スノーデン氏が暴露したことや、米Targetなど多くの有名小売業者のデータ流出事故、広く普及した暗号化ソフトウェアの脆弱性「Heartbleed」の発見など、重大なセキュリティ事件が相次いでいるが、「CISOは、深刻に考え過ぎて、拙速に対策を進めてはならない」とクギを刺した。その一方で、「産業界全体が直面している新たな状況を無視していられる企業はほとんどない」とも語った。

　「一方では過剰反応のせいで、他方では対処の甘さのせいで、問題が生じている」とジラード氏。「新たな環境の中で成功するには、問題がこれまでとどう変わり、どう変わらないのかを理解する必要がある」

　最良のアプローチは、セキュリティ対策で利用できる“賢明な行動”を取ることだと、ジラード氏は語った。こうした行動としては、認証リスクを限定し、ビジネスマネジャーにユーザーの危険な行動に対する責任を持たせることや、イベント管理技術を厳格に適用し、対応を要するセキュリティイベントの数を抑えることに加え、セキュリティを高めるために他の業界のベストプラクティスを取り入れることなどが挙げられる。

セキュリティ vs. コンプライアンス

　一方、Gartnerのリサーチ担当副社長で、カンファレンスの責任者を務めたアンドルー・ウォールズ氏は、情報セキュリティにおけるCIOの役割について話す中で、最新の脅威や、監査結果、コンプライアンス規制の重視が行き過ぎると、いずれもセキュリティ対策に間違った優先順位を付けることになると指摘した。

　ウォールズ氏は、基本を忠実に守るのが適切なやり方だと述べた。迅速なパッチ適用、堅実な基本ポリシー、セキュリティ教育、暗号化の妥当な利用、境界保護、アイデンティティーおよびアクセス管理技術を組み合わせることで、ほとんどの企業ではリスクの80％に対応できるという。同氏は、その上で正式なリスク評価に基づいてセキュリティ計画を進めるとともに、常に能力評価、問題点の優先順位付け、改善機会の特定を行うようアドバイスした。

　Gartnerのリサーチ担当副社長兼ディスティングイッシュトアナリスト、ポール・プロクター氏は、CEOが持つべき考え方についての説明の中で、ウォールズ氏の評価に同意し、コンプライアンスに基づく「典型的な偏った」情報セキュリティアプローチに固執している企業があまりにも多いと語った。

　「多くの人が、『コンプライアンスを実践すれば、保護も実現される』と言う。だが、PCI DSS（クレジットカード業界のセキュリティ基準）を保護のための優れた基準と位置付けてきた小売業界を見れば、必ずしもそうはいかないことが分かる」（プロクター氏）

　しかし、オープニングセッションに出席した米Transaction Network ServicesのCISOを務めるケント・クリング氏にとって、コンプライアンスがセキュリティ対策で果たす役割の比重を下げることは、言うはやすく、行うは難しだ。

　クリング氏は言う。「彼（プロクター氏）が、『コンプライアンスとセキュリティは別物だ』と言ったのは分かる。だが残念ながら、われわれのビジネスではコンプライアンスが大前提だ。われわれは決済業界に属している。コンプライアンスや規制の要件を満たさなければならない。IoTのリスクは、われわれの最大のセキュリティリスクに近いものだ。それでもわれわれにとっては、やはりコンプライアンスに関するリスクが最大のセキュリティリスクだろう」

“ビジネスアラインメント”としてのセキュリティ戦略

　プロクター氏はCISOに向けて、ビジネスオペレーション（特に、自社が目指す結果を出すために依存しているオペレーション）に関する深い知識を身に付けることでCEOなどの上級経営陣とコミュニケーションを取る方法を学ぶよう提案した。その上で、密接に関連し合うITとビジネスがセキュリティ対策によってどのように支えられているかを説明するよう呼び掛けた。

　「せんじ詰めれば、上級経営陣にとって何が重要なのかを把握することであり、これによって上級経営陣の意思決定に影響する情報を提供できるようになる。そうすることが、IT幹部が金科玉条として掲げている、いわゆる“ビジネスアラインメント”（ビジネスとITの整合性確保）の出発点になる」とプロクター氏。「そのモデルとプロセスは非常に理解しやすいが、われわれの顧客の多くは、その実践に苦労している」

　ウォールズ氏も、CIOは企業業績に連動した報酬を得るようになっており、これは、「企業が儲かるほど、CIOも儲かる」ことを意味すると述べた。リスク管理は、CIOが収益の最大化のために利用できるツールの1つだと、同氏は指摘した。

　ウォールズ氏は、CIOは収益の最大化に向けて、自社のセキュリティとリスク管理に対する社員の関与と責任を拡大することについて、CISOを支援しなければならないと語った。同氏は、社員がしばしば、基本的なセキュリティ啓発研修での学習内容を実践しないことから、この取り組みが厄介なことを認め、改革を実現するには、CISOがマーケッターとなり、一般スタッフにセキュリティとリスク管理の主要な考え方を浸透させる必要があると語った。

　「われわれの仕事は、『セキュリティ上の良い判断は、悪い判断よりも魅力的な結果をもたらす』と認識させることだ。社内を調査し、悪い選択を促すものは全て変えなければならない」とウォールズ氏。「社員が許されない行動をしても、おとがめなしで報酬を支給するのはやめるべきだ。宣伝やストーリーテリング、同僚の目や圧力、そして何よりも重要なリーダーシップを通じて、文化を利用して良い行動を後押ししなくてはならない。経営陣とIT担当者は常に、セキュリティ上の良い判断を身をもって示していく必要がある」

　また、プロクター氏は、同氏が言うところの「デジタルリスク責任者（DRO：Digital Risk Officer）」という役職が登場すると考えられることに注意を促した。DROの任務は、IT分野の他、SCADA（Supervisory Control And Data Acquisition）システムに見られるようなオペレーション技術や機械技術、物理セキュリティ、IoTセキュリティにおける技術リスクを統括することだ。

　Gartnerは、デジタルビジネスを手掛ける企業の3分の1が2017年までに、DROまたは同等の役職を置くと予想している。プロクター氏はCISOに、この予想を踏まえ、自社におけるDROの役割を定義し始めることを勧めている。

　しかし、前出Transaction Network Servicesのクリング氏は、DROが実際に登場するかどうかには懐疑的だ。

　「DROの仕事は、CISOが新たに兼務するだけのことだろう」とクリング氏。「いずれはDROが専任で置かれ、セキュリティ部門やリスク管理部門により多くの予算が配分されるようになるかもしれない。しかし今のところは、既存の役員にこの肩書が加わるにすぎないはずだ」

　Gartnerの3人のスピーカーはさまざまな課題に触れたが、クリング氏は、同氏にとって追い風となる1つの大きな変化として、経営陣と顧客の両方がセキュリティをより重視するようになっていることを挙げた。

　「今では多くの人がセキュリティを意識するようになっている。メディアでセキュリティ関連のさまざまなニュースが頻繁に報じられているからだ。人々は、セキュリティが生活でも仕事でも、自分に影響し得ることを理解している」とクリング氏。「われわれの会社のビジネスでも、ますます多くの顧客から、『どのようにセキュリティをカバーしてくれるのか』と聞かれるようになっている。これまでとは随分違う」