2023年、世界クラスのCISOはいかにして予算と取締役会の信頼を獲得しているか

本記事は SC Magazine に掲載された記事を更新し、転載したものです。


CISOは今、かつてないほど困難な状況に直面しています。より多くの資産を保護し、より多くのコードをリリースし、拡大する攻撃対象領域を縮小しながら、急速に減少する予算の中でそれらを実現しなければならないのです。サイバーセキュリティがコストセンターと見なされているのは紛れもない事実です。組織のセキュリティプログラムこそが、企業を明日の悲劇的なニュースの主役にさせないための防波堤であるにもかかわらず、セキュリティリーダーは経営陣が理解できる言葉で、部門の全体的なビジネス価値を売り込み、証明しなければなりません。

世界トップクラスのCISOは、こうした状況を好機と捉え、顧客の信頼とブランドの評判を高める包括的なセキュリティプログラムを主導し、利用可能なあらゆるツールを駆使して確かな価値を創出しています。それは、一般的なセキュリティの落とし穴に対する戦略的かつ予防的なアプローチから始まり、セキュリティの卓越性を維持するための時間、リソース、人員が常に不足しているという考え方を捨てることから始まります。

取締役会での議論を変える。

現在の経済情勢において、支出、採用、そしてビジネス目標への戦略的影響について精査を免れる企業や部門はほとんどありません。現代の企業に広範なセキュリティプログラムが必要であることは言うまでもありませんが、それは投資収益率（ROI）の観点から正当化するのが難しい、組織にとって大きなコストでもあります。

経営陣や取締役会のステークホルダーは、サイバーセキュリティへの投資から得られる予測成果を、スプレッドシートの数字以外の言葉で明確に理解する必要があります。彼らの技術的な知識や理解度はさまざまであり、CISOは誰にでもわかるメッセージで自らの主張を提示する努力をしなければなりません。プログラムの規模、保護すべき対象、そして最高水準の事例を実現するために誰を支援すべきかを説明してください。攻撃は増加の一途をたどっていますが、予算は追いついていません。この厳しい戦いに勝つためには、その価値を正当化するための言葉によるキャンペーンから始める必要があります。

業種を問わず、あらゆる企業が急速にテクノロジー企業化していると言われて久しいです。デジタルファーストのアプローチが多くの組織で標準となる中、これは現時点で可能な限り最高の保護を必要とする巨大な攻撃対象領域を生み出しています。セキュリティリーダーは多くの役割を担っていますが、手遅れになるまで見過ごされがちな役割の一つが、顧客の信頼を守る番人であるということです。これは価値提案として強調しすぎることはなく、営業やマーケティングの目標と同じくらい重要です。

セキュリティへの予防的アプローチの価値を証明する。

現在のサイバーセキュリティ統計は驚くべきものですが、予算を獲得する際に恐怖や不安を煽る戦術は、通常、無益に終わります。サイバーセキュリティが優先事項ではないと主張する経営陣はほとんどいませんが、既存のリソースを活用してより良い成果を出すための前向きな戦略が提示されれば、予算増額を受け入れる可能性ははるかに高まります。

Neustar International Security Councilによる最近の調査によると、既知のサイバーセキュリティ課題に取り組むための十分な予算があると回答した企業はわずか50%でした。また、世界的なサイバー攻撃は2021年から2022年の間に38%増加しており、平均的なCISOにとって、今後の道のりはさらに困難なものになるでしょう。しかし、真に世界クラスのセキュリティリーダーは、こうした痛みを乗り越え、逆境の中で革新を起こすことができます。

多くの場合、治療よりも予防の方が簡単で単純であり、サイバーセキュリティも例外ではありません。包括的なセキュリティプログラムは、事後対応的な対策をはるかに超えるものでなければなりません。脆弱性管理が多くのCISOにとってトップ3の懸念事項である中、開発者がその取り組みに不可欠な存在であることは理にかなっています。彼らには、一般的なセキュリティバグに正面から取り組むための実践的な教育が必要です。これにより、ソースコードレベルで問題を排除し、本番環境に決して持ち込ませないようにすることができます。私たちは今、低品質で安全でないコードを許容し続けることはできない段階に達しており、開発チームのスキルアップは、コードレベルの脆弱性に対する最も費用対効果が高く、強力な解決策です。

CISOが既存の予算を維持するために戦うことは不可欠です。特に開発者向けの役割ベースのセキュリティスキルアップの利点を詳細に説明することは、扱いにくいセキュリティ技術スタックに次の「特効薬」を追加するよりも、迅速な成果につながります。

セキュリティはブランドの基本の一部であるべきです。

多くのCISOはマーケティングへの情熱を追求するためにその職に就いたわけではありませんが、少なくとも予算を握る人々に自らの主張を提示する際には、取り組むべき分野の一つです。

サイバーセキュリティプログラムが顧客の信頼とブランドロイヤリティに与える影響は計り知れず、大規模な侵害は壊滅的な顧客離れを引き起こす可能性があります。対照的に、厳格なセキュリティ慣行を中核となるブランド価値と一致させることで、データプライバシーと保護が単に意識されているだけでなく、顧客が信頼できるものであるという明確なメッセージを送ることができます。

現代のCISOにとって、継続的で前向きな顧客感情と信頼に関連するセキュリティ戦略およびポリシーの競争上の優位性を強調する時間を取ることが不可欠です。事後対応的なセキュリティだけでは同じ影響は得られません。利用可能なあらゆるリソースで特権資産を保護することに重点を置いたバランスの取れたアプローチこそが、究極の差別化要因となり得ます。

言い訳の余地はもうありませんが、CISOが真に変革的なセキュリティ戦略のために十分な資金を求める際に強調できる説得力のある理由はたくさんあります。