英国家サイバーセキュリティセンター（NCSC）のLindy Cameron最高経営責任者（CEO）は、取締役会はいまだにサイバーセキュリティに真剣に取り組んでおらず、危機が起こった後にしか注意を払わないため、組織が脆弱な状態にあるとの懸念を示した。
「組織に学んでほしいことは、まさにこうした脅威について考える必要があるということだ。取締役会は、役員室でリスクについて話題にする時に、法的リスクや財務的リスクと同じように、（サイバーセキュリティを）取り上げてほしい。CEOは、財務責任者に会うのと同じくらいの頻度で、最高情報セキュリティ責任者（CISO）とも話し合いの場を持つべきだ」とCameron氏は指摘する。そして、IT部門との単なる技術的な会話にとどまらず、取締役会で行うような話し合いをすべきだと述べている。
「組織は、まかり間違うと、いかに深刻な影響を受ける恐れがあるかということを知る必要がある」と同氏は述べている。組織が危機管理計画を策定していても、基本的なことを抑えていなければ、うまくいかない場合があるという。
「月曜の朝に出社したら、コンピューターや電話が使えない状態になっており、バックアッププランをプリントアウトしていなかったために、必要な電話番号が分からなかった、というような組織と話したこともある」（Cameron氏）
サイバー攻撃の被害に遭った組織は、それを機にセキュリティー戦略の優先順位を見直すことが多い。
「ランサムウェア攻撃やサイバー攻撃に遭った組織は、それがどのようなものか身を持って体験しているため、より周到に準備するようになるのは確かだ」とCameron氏は話す。
NCSCは、組織がサイバー攻撃への対応をテストし、訓練できるようにするオンラインツール「Exercise in a Box」を無料で提供するなど、組織がサイバー攻撃について考えられるようにしている。
サイバー攻撃に備えるコンティンジェンシープランには、取締役会も関与すべきだ。技術的な問題としてではなく、法的もしくは財務的なリスク同様、リスクの問題として取り上げれば、潜在的な脅威について理解してもらえる可能性が高くなるだろう。
「ほかの合理的なコンティンジェンシープランと同じことが言える。考えられる最悪のシナリオや何につまづく可能性があるか、そして何を管理する必要があるか、じっくり考えることが重要だ」と、Cameron氏。
最悪のシナリオが何であるかは、組織によって異なるだろう。データの侵害、サービスの中断、サイバーフィジカルシステムの混乱などが考えられる。しかし、重要なのは、サイバーリスクについて考え、それを防ぎ、軽減するための計画を策定することだ。もしそのようになれば、確かなサイバーセキュリティ戦略が整うため、NCSCなどが提供しているような実践的な支援は必要なくなるだろう。
この記事は海外Red Ventures発の記事を朝日インタラクティブが日本向けに編集したものです。
