サイバーセキュリティの価値を証明するためにCISOが取るべき3つのステップ

Vice President, Industry Strategy

2024年2月7日

23分読む

取締役会は、サイバーリスクがオペレーショナルリスクの重要な要素であることを認識しており、CISOが具体的なセキュリティ上の利益を示すことをますます要求しています。

この増大するプレッシャーを感じているリーダーにとって、成功の鍵は、脅威から価値に焦点を移すことにあります。サイバーセキュリティプログラムがビジネス成果をどのようにサポートしているかを示すために、定性的なレポートから、より定量的で価値ベースの指標に移行する時が来ています。

ここでは、セキュリティリーダーが、役員室で成功し、進化するサイバー脅威から組織を守る価値ベースのアプローチを採用するために、私が取ることを推奨する3つのステップを紹介します。

1. ビジネス目標から逆算する

取締役会レベルのセキュリティ上の懸念に真に対処するには、セキュリティチームはビジネス成果から逆算して作業する必要があります。セキュリティをチェックボックスの演習として考えるだけではもはや十分ではなく、CISOとそのチームは、有効 性と効率性 を証明する焦点を絞った戦略を持たなければなりません。

セキュリティ目標を包括的なビジネス目標に合わせることで、プログラムとその支出がビジネスの主要な成果とどのように一致しているかを示しながら、組織全体の回復力の向上に貢献できます。これにより、サイバーセキュリティの影響を実証するために、定性的な報告から、より定量的な価値ベースの測定への移行を余儀なくされます。

たとえば、認証は重要なセキュリティ戦術であるため、組織が認証の改善に投資する必要があると単純に言わないでください。代わりに、認証を優先し、強化された認証ソリューションに投資することで、ビジネス上の最大の目標にどのようなメリットがあるかを説明します。この最新の考え方により、ビジネス目標に沿った価値を実証できるテクノロジーにのみ投資できるようになります。

2. セキュリティのROIを厳密に実証する

セキュリティツールに巨額の投資が行われているにもかかわらず、あらゆる業界、地域、規模の組織が依然として壊滅的なサイバー攻撃に見舞われています。

実際、 IBMの2023年データ侵害コストレポートによると、昨年、データ侵害により組織に平均445万ドルの損害が発生したことがわかりました。これは、多くのセキュリティチームが、サイバーレジリエンスにプラスの影響を与えているという証拠を持たずに、セキュリティテクノロジーを導入していることを証明しています。

サイバーセキュリティの取り組みを、具体的で測定可能なレジリエンスの利点と結びつける時が来ています。サイバーセキュリティに費やされるすべてのドルは、セキュリティ体制の大幅な向上または測定可能なリスク軽減を示す必要があります。

取締役会は、サイバーリスクが組織のオペレーショナルリスクにおいて重要な役割を果たしていることを認識しています。彼らは、サイバーセキュリティのリーダーに、サイバーセキュリティの具体的な成果を示すことを要求するでしょう。セキュリティチームは、投資が実際の利益に直接結びついていることを厳密に示す必要があります。

より多くのデータと証拠を要求する取締役会は、サイバー問題を解決するためのコストと、サイバー問題に対処しないままにしておくことによる財務リスクを評価します。

3. ビジネス用語で戦略を立て、コミュニケーションをとる

サイバーセキュリティリスクはビジネスリスクであり、セキュリティ戦術をこのリスクの軽減に役立つ統一されたセキュリティ戦略に変換するのは CISO 次第です。

データ主導のサイバーセキュリティが標準になりつつあり、セキュリティリーダーは、サイバーイニシアチブやツールがリスクを軽減または軽減し、レジリエンスを高めた方法について定期的に最新情報を提供することが期待されています。取締役会は、セキュリティイニシアチブがビジネス成果をどのようにサポートしているかを知りたいと思うでしょう。

残念ながら、多くのCISOはトップリーダーと十分なコミュニケーションをとっていません。

ハーバード・ビジネス・レビューの調査によると、取締役会メンバーのうち、CISOと定期的にやり取りしているのはわずか47%です。

多層防御やゼロトラストなどの原則に基づいて構築された、理想的にはリスクベースのアプローチを採用することが不可欠です。まとまりのある戦略は、意思決定の指針となるだけでなく、脅威に対する包括的な防御をどのように開発しているかをビジネスリーダーが確実に理解できるようにします。

プログラムについて話すときは、特に取締役会レベルの設定で、特定のセキュリティ戦術や脅威ではなく、組織のトップラインとボトムラインの目標に関連する会話に参加します。この戦略的なコミュニケーションアプローチにより、サイバーセキュリティは単なるコストセンターとしてではなく、ビジネスの成功を達成するために不可欠な部分とみなされます。

勝つセキュリティリーダーは、自分のプログラムがビジネスに与える影響を明確に表現できる人です。