変わるCISOの役割
事故率100％時代、セキュリティ担当に必要なのは「防御力」より「ビジネス感覚」
経営層の71％が事業目標のためならサイバーリスクを多めに受け入れるという調査結果が出た。CISOには今、技術力よりもビジネスへの深い理解が求められている。生き残るリーダーの条件と、防御一辺倒から脱却するための処方せんを提示する。
Gartnerのシニアディレクターアナリスト、ウィル・キャンドリック氏によれば、サイバーセキュリティのインシデントは避けられないものだが、企業の存続を脅かすような脅威となることはまれだという。同氏は、同社の「2026 Security and Risk Management Summit」のセッションで、サイバーリスクに対する許容度の変化について論じた。
「長期的に見れば、インシデントが発生する確率は100％だ」とキャンドリック氏は述べ、発生するかどうかではなく、いつ発生するかが問題なのだと付け加えた。しかし、ほとんどの場合、その影響は短期間で収束する。「その影響は痛みを伴い、即座に現れるかもしれないが、混乱を招くものの、通常は一時的なものにすぎない」
長年、企業は深刻なデータ漏えいに見舞われてきたが、大半のケースで立ち直れている。Gartnerによれば、経営層は時折発生するサイバー攻撃に慣れつつあり、サイバーセキュリティインシデントに対する意識がこの現実に即して変化しているという。最近の調査では、取締役の71％がビジネス目標を達成するためなら、より大きなサイバーリスクを受け入れる意向があることが分かった。これはCISO（最高情報セキュリティ責任者）にとって、恐怖に基づいたセキュリティ対策への支出が減ることを意味しているが、同時に企業のニーズに合わせて自身の役割を近代化する機会でもある。本稿では、生き残るリーダーの条件と、防御一辺倒から脱却するための処方箋を提示する。
セキュリティによる足かせ
セキュリティの目的はビジネスを守ることだが、一部のセキュリティ投資は不釣り合いなほどビジネスに害を及ぼすとキャンドリック氏は指摘する。
サイバーセキュリティの費用対効果だけを見ると、厳しい制限を設けても攻撃者の侵入を防げなかった一方で、AI導入のようなイノベーションを妨げるビジネス上の摩擦を生んでいる、と経営層が主張するのは容易なことだ。
「セキュリティを強化することが正解ではない。なぜなら、セキュリティの強化がビジネス成果の向上に直結するわけではないからだ」とキャンドリック氏は話す。「むしろ、セキュリティの強化は、ビジネスコストの増大、市場投入の遅れ、イノベーションの停滞、AIツールの陳腐化、官僚的な手続きの増加、過度な不安の扇動、そして生産性の低下を招くことになる」
取締役会がセキュリティインシデントの不可避性を受け入れ、サイバーリスク管理よりも他のビジネス目標を優先するようになれば、セキュリティリーダーの予算や影響力は低下する可能性がある。一方で、この力関係の変化は、CISOの役割を企業の戦略的目標と再調整する好機でもあるとキャンドリック氏は述べている。
CISOの新たな使命
Gartnerは、CISOの役割を全面的に転換することを提案している。今後、セキュリティリーダーには技術的な専門知識ではなく、ビジネスの洞察力を持って先導することが求められるという。
「サイバーセキュリティの新たな使命は、攻撃の前後および最中で、ビジネスへの害と影響をより包括的に最小限に抑えることだ」とキャンドリック氏は言う。「どれだけ予算を投じても達成不可能な『完全な防御』を追求することとは対照的である」
同氏が提案するCISOの業績評価指標には、「システムの停止時間の削減」「法的責任の限定」「冗長性の構築」「収益の向上」「コストの最小化」「ブランド保護」といった項目が含まれる。
多くのCISOにとって、これはより広範な責任とリーダーシップスキルを意味する。サイバー防御からビジネスレジリエンス（回復力）へとマインドセットを切り替えるには、多少の慣れが必要だろう。サイバーセキュリティの制御を防御策であると同時に、トレードオフを必要とするビジネスコストであると再定義しなければならない。
まず着手すべきこととして、キャンドリック氏は以下を推奨している。
- 利益を生み出すビジネスプロセスを特定する
- 自身の影響範囲を拡大する
- ビジネス上の懸念事項に主体的に対処することで、取締役会の共通言語を学ぶ
「2028年までに、経営層で高い成果を出すCISOを差別化する主な要因は、ビジネスの洞察力になるだろう」（キャンドリック氏）
Copyright © ITmedia, Inc. All Rights Reserved.
TechTarget発 先取りITトレンド
米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社MatrixFlow] 「物流リソース最適化」ガイド：人員・配車・傭車を出庫依頼の確定前に決めきる -
製品資料
[株式会社キーエンス] なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは -
製品資料
[株式会社セールスフォース・ジャパン] 「CRMは設計と無関係」は本当か？ PLMとの融合で実現する高速開発 -
事例
[日本ヒューレット・パッカード合同会社] AIエージェントの時代にどう備える？ 「新たな働き手」を支える3要素とは -
製品資料
[日本ヒューレット・パッカード合同会社] “横並びの自動化”から脱却、AI活用で生産性と競争力を高める秘訣
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
2
法務と開発者で「言葉が通じない」問題 トヨタやソニーが語るOSS管理の真実
-
3
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
4
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
5
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
6
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
7
情報漏えいはなぜ繰り返されるのか 今すぐ見直すべき「境界」
-
8
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
-
9
「結局使わなくなる」Microsoft 365 Copilotを半年で定着 キリンの3施策
-
10
「中堅・中小企業のネットワーク・セキュリティ運用実態」に関するアンケート
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
4
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
5
LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント
-
6
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
7
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
-
8
生成AIを開発に導入しても効果が見えない？ 実証実験で分かった成果と課題
-
9
経産省DX指針から読み解く、受発注業務デジタル化ロードマップ
-
10
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー