これはCISOにとって課題となります。セキュリティチームは脆弱性の技術的な深刻度、脅威アクターの高度さ、攻撃の可能性のある経路を理解できますが、取締役会や経営陣は別のことを理解する必要があります。これはビジネスにとって何を意味するのでしょうか？
重要な業務を中断させる可能性がありますか？機密データを漏洩させる可能性がありますか？収益を遅らせる可能性がありますか？規制当局の監視を引き起こす可能性がありますか？顧客の信頼を損なう可能性がありますか？組織が不可欠なサービスを提供する能力に影響を与える可能性がありますか？
サイバーリスクをビジネス用語で評価するということは、技術的な露出をビジネスへの影響に変換することを意味します。これは、リーダーが投資、優先順位付け、回復力についてより良い意思決定を行うのに役立ちます。また、CISOが抽象的なリスクスコアから組織が保護しようとしている成果へと議論を移すのにも役立ちます。
ビジネス用語でサイバーリスクを評価するための実践的なフレームワーク
サイバーリスク評価では、次の5つの要素を関連付ける必要があります。
- 重要なビジネス資産： 組織にとって不可欠なシステム、データ、プロセス、サービス、およびサードパーティは何ですか？
- 脅威への露出： 組織の業種、地域、運用モデル、脅威の状況に基づいて、これらの資産に最も関連性の高いサイバー脅威はどれですか？
- 可能性： 現在の脆弱性、対策、攻撃者の活動状況、およびセキュリティ成熟度を考慮すると、脅威が組織に影響を与える可能性はどの程度でしょうか？
- ビジネスへの影響： 脅威が現実化した場合、財務、業務、規制、評判の面でどのような影響が生じるか？
- 意思決定の優先順位： リスクのレベル、利用可能なリソース、およびビジネス目標に基づいて、組織はまず何をすべきでしょうか?
このフレームワークは、CISO がサイバーリスクを技術的な言葉に矮小化することなく構造的に説明できる方法を提供します。また、より実践的な意思決定もサポートします。脆弱性は、重大度が高いからといって自動的に取締役会レベルの問題になるわけではありません。ビジネスにとって重要なものに影響を与える場合に、取締役会レベルの問題になります。
脅威ではなく、ビジネスから始めましょう
多くのサイバーリスク評価は、脆弱性、アラート、制御ギャップ、インシデントレポート、監査結果などの技術的な入力から始まります。これらは不可欠ですが、ビジネスに関する会話の最良の出発点ではありません。
より良い出発点は、次の質問について考えることです。組織が運営、成長、信頼を維持するために保護しなければならないものは何ですか?
銀行の場合、これには決済システム、顧客口座、取引プラットフォーム、ID システム、規制報告プロセスが含まれる可能性があります。製造業者の場合、生産ライン、産業制御システム、サプライチェーンプラットフォーム、知的財産が含まれる可能性があります。そして、医療機関の場合、患者記録、臨床システム、接続された医療機器、予約スケジューリングシステムが含まれます。
重要なポイントは次のとおりです。同じサイバーイベントでも、それがどこに及ぶかによって、ビジネス上の影響は大きく異なります。隔離されたテスト環境に対するランサムウェア攻撃は、本番システム、顧客向けサービス、運用技術に影響を与えるランサムウェアとは異なります。セキュリティ上の問題がある従業員アカウントは、機密データや重要インフラにアクセスできるセキュリティ上の問題がある管理者アカウントとは異なります。
これが、資産のコンテキストが非常に重要な理由です。CISO は、何が脆弱であるかだけでなく、脆弱な資産が何をサポートしているかを知る必要があります。
技術的な露出をビジネスへの影響に変換する
サイバーセキュリティ チームは、リスクを CVE、攻撃ベクトル、侵害の兆候、設定ミス、検知範囲の観点から説明することがよくあります。これらの詳細は重要ですが、必ずしも経営陣の質問「それでどうなるのか？」に答えるものではありません。
サイバーリスクをビジネス用語で評価するには、技術的な露出をビジネスがすでに理解しているカテゴリに変換します。たとえば、以下のような例があります。
- 運用上の影響:コア サービス、生産、物流、顧客サポート、または内部業務が中断される可能性がありますか?
- 財務上の影響:収益の損失、復旧コスト、身代金の要求、法的コスト、顧客への補償、または保険料の増加につながる可能性がありますか?
- 規制上の影響：義務的な報告、罰金、監査、または法的措置につながる可能性はありますか？
- 評判への影響：顧客の信頼、パートナーの信頼、市場の認識、または投資家の信頼を損なう可能性はありますか？
- 戦略的影響：変革プロジェクト、合併、市場拡大、デジタルイニシアチブを遅らせる可能性はありますか？
この翻訳は完璧である必要はありません。多くの場合、方向性を示す推定値で、情報に基づいた優先順位付けをサポートするのに十分です。目的は、数学的な確実性という誤った感覚を生み出すことではなく、サイバー関連の意思決定に伴う結果を経営陣により明確に示すことです。
推測ではなく、脅威のコンテキストを使用して可能性を評価する
可能性は、サイバーリスクに関する議論の中で最も弱い部分であることがよくあります。直感に基づいて可能性を低、中、高と表現したくなるかもしれません。しかし、企業のリスクに関する意思決定には、直感よりも強力な根拠が必要です。
信頼できる評価では、いくつかのインプットを考慮します。
関連する脅威アクターの活動
サイバー犯罪グループ、国家関連組織、またはハクティビストが、組織のセクター、地域、または技術スタックを積極的に標的にしているか？
既知の脆弱性
インターネットに接続されたシステム、エンドポイント、クラウド環境、IDインフラストラクチャ、または運用技術に悪用可能な脆弱性はありますか？
制御の有効性
セキュリティ対策は意図どおりに機能しているか、また現実的な攻撃手法に対してテストされているか？
検出と対応の成熟度
組織は侵害の初期兆候を検知し、技術的なインシデントがビジネス上の危機に発展する前に対応できるか？
サードパーティへの依存
サプライヤー、ソフトウェアプロバイダー、マネージドサービスプロバイダー、またはパートナーが、重要な業務にリスクをもたらす可能性はあるだろうか？
脅威インテリジェンスは、新たな脅威や観測された攻撃者の活動に関する追加的なコンテキストを提供するため、特にここで価値があります。これには、どのセクターが標的になっているか、どのような戦術が使用されているか、どの指標が初期の攻撃活動を示している可能性があるかなどが含まれます。脅威インテリジェンスの価値は、データソースの質、広さ、関連性に依存するため、タイムリーで有用なコンテキストを提供するには、高グローバルな可視性と信頼性の高いインテリジェンス収集が不可欠です。
CISO にとって、これはリスクに関する議論のより強力な基盤となります。メッセージは「これは深刻な脆弱性です」から「この脆弱性は、悪用可能であり、当社の環境に関連があり、活発な脅威活動と関連しているため重要です」に変わります。
可能な場合は定量化し、必要な場合は定性化する
ビジネスリーダーは、サイバーリスクを財務的な観点から表現することを求めることがよくありますが、これは妥当です。サイバーセキュリティは他のビジネス優先事項と予算を競合するため、CISO はリスク軽減の価値を説明する方法が必要です。
可能な場合は、コスト範囲を使用してサイバーリスクを定量化します。これらには以下が含まれる可能性があります:
- 1 時間または 1 日あたりのダウンタイムの推定コスト
- サービス中断による潜在的な収益損失
- 復旧および修復コスト
- 法的、規制または通知コスト
- 潜在的な顧客補償または契約上のペナルティ
- 生産性損失コスト
- 保険料への潜在的な影響
- ビジネス イニシアチブの遅延コスト。
しかし、すべてのリスクを正確に定量化できるわけではありません。評判の低下、利害関係者の信頼の喪失、戦略の遅延など、一部の影響は定性的に記述する必要があるかもしれません。
優れたビジネスリスク評価では、両方のアプローチを使用します。漠然とした不安を煽ることは避けますが、すべての結果を単一の数値に還元できると装うことも避けます。
次の形式が役立ちます。
このリスクが現実化した場合、考えられるビジネスへの影響は、[重要なプロセス]の中断であり、[ビジネスユニット、顧客グループ、または市場]に影響を及ぼし、潜在的な結果には、[財務、規制、運用、または評判への影響]が含まれます。
これにより、技術的な問題とビジネスの結果の間に明確な線引きができます。
ビジネス上の影響に基づいてリスクに優先順位を付ける
エンタープライズセキュリティチームは、すべてを一度に解決することはできません。問題は、すべてのリスクが重要であるかどうかではなく、どのリスクが最も重要であるかです。
優先順位付けは、ビジネス上の影響、悪用可能性、および露出度に基づいて行う必要があります。価値の低い隔離された資産における技術的に深刻な脆弱性は、アクティブな攻撃にさらされているビジネス上重要なシステムに影響を与える中程度の脆弱性よりも緊急性が低い場合があります。同様に、ID およびアクセス管理における制御の弱点は、局所的なエンドポイントの問題よりも企業全体のリスクが大きい場合があります。
CISO は、優先順位付けに関する 4 つの質問を考慮する必要があります。
- この資産はどのようなビジネス機能をサポートしていますか?
- 想定される攻撃者に対してどの程度露出していますか?
- 現在の制御はどの程度効果的ですか?
- 失敗した場合、暗号化された場合、改ざんされた場合、または攻撃者によってアクセスされた場合、どうなるでしょうか?
これは、セキュリティ チームが量ベースの優先順位付けから結果ベースの優先順位付けに移行するのに役立ちます。目的は、作業を増やすことではありません。最も重要なリスクを軽減できる場所に、修復、監視、および対応の取り組みを集中させることです。
サイバー リスクを回復力に接続する
予防をサポートするだけでなく、ビジネスの観点からサイバー リスクを評価することは、回復力もサポートする必要があります。
サイバー インシデントは、組織がそれを十分に迅速に検出、封じ込め、復旧できない場合に、ビジネス クライシスになります。したがって、検出、対応、封じ込め、および復旧は、ビジネス リスク方程式の一部です。迅速に検出され、効果的に封じ込められ、最小限の混乱で復旧できる脅威は、数週間隠れたままであったり、重要なシステム全体に広がったりする脅威とは異なるレベルのビジネス リスクをもたらします。
ここで、インシデントへの備えが中心になります。CISO は、インシデントが発生する前に、組織が次の実際的な質問に答えることができるかどうかを評価する必要があります。
- サイバー クライシス中に誰が意思決定を行うか?
- どのシステムを最初に復旧する必要があるか?
- 組織は影響を受けた資産をどれくらいの速さで隔離できるか?
- 調査のためにどのような証拠を保存する必要があるか?
- どの規制当局、顧客、またはパートナーに通知する必要があるか？
- 組織は社内外への情報伝達をどのように行うか？
- 社内チームの負担が増大した場合、どのような専門家によるサポートが利用できるか？
これらの質問は、サイバーリスク評価を運用上の準備へと変えます。また、取締役会が、レジリエンスは理論的な概念ではなく、プレッシャーの下でも機能し続ける組織の能力であることを理解するのに役立ちます。
シナリオを使用してサイバーリスクを現実のものにしましょう
サイバーリスクをビジネス用語で伝える最も効果的な方法の1つは、シナリオを使用することです。
シナリオは、技術的なリスクをビジネスストーリーに変えます。たとえば、以下のような例があります。
シナリオ： ランサムウェアが地域物流業務をサポートするシステムに影響を与えています
ビジネスへの影響：注文処理の遅延、顧客サービス量の増加、契約上のペナルティの適用、収益の遅延が発生する可能性があります。
リスク要因：リモートアクセスの脆弱性、エンドポイントのカバレッジの不整合、ネットワークセグメンテーションの制限、不十分な復旧テスト。
ビジネス上の意思決定：検知と対応の強化、バックアップテストの改善、ネットワークセグメンテーションの加速、運用責任者とのインシデントシミュレーションの実施。
このようなシナリオは、一般的なリスク記述よりも有用です。影響がITやセキュリティに限定されないため、経営幹部が結果の連鎖を理解し、部門横断的な責任感を醸成するのに役立ちます。
優れたシナリオは、具体的で、もっともらしく、ビジネスの優先事項と関連しています。一般的な最悪のケースの想定ではなく、組織の実際の運用モデルを反映している必要があります。
取締役会と共通の言語を構築しましょう
取締役会はサイバーセキュリティのすべての技術的な詳細を理解する必要はありませんが、リスク、露出、回復力について一貫性がある方法で議論する必要があります。CISO は、次のようなビジネスに焦点を当てた少数の指標を通じてサイバーリスクを報告することでこれをサポートできます。
- 重要なビジネス サービスへのリスク
- 高価値資産の露出
- 優先度の高い脅威を検出して対応する準備
- ビジネス上重要なリスクに対する修復の進捗状況
- 重要な業務に影響を与えるサードパーティのリスク
- インシデント対応の準備
- リスク軽減にマッピングされたセキュリティ投資。
これにより、より有益な議論が生まれます。組織が「安全性の高い」かどうかを尋ねるのではなく、経営陣は、最も露出している場所はどこか、業務に影響を与える可能性があるものは何か、それに対して何をしているのか、どのようなリスクが残っているのか、といったより鋭い質問をすることができます。
最後の点が重要です。サイバーセキュリティはリスクを排除することはできません。組織がリスクを軽減、管理、監視するのに役立ちます。ビジネス リーダーは、投資、許容度、説明責任について情報に基づいた意思決定を行うために、残存リスクを理解する必要があります。
サイバーセキュリティ機能がどのようにビジネス リスク評価をサポートするか
ビジネス主導のサイバー リスク評価は、正確なセキュリティの洞察に依存します。CISO（最高情報セキュリティ責任者）は、資産、脅威、脆弱性、制御、インシデント、および対応能力に関する可視性を必要とします。
ここで、エンタープライズサイバーセキュリティ機能が重要な役割を果たします。
- 脅威インテリジェンスは、関連する攻撃者の活動、新たな脅威、および組織に影響を与える可能性のある指標を特定するのに役立ちます。
- 検出および対応機能は、侵害から封じ込めまでの時間を短縮するのに役立ちます。
- セキュリティ運用は、継続的な監視、調査、エスカレーションをサポートします。
- インシデント対応サービスは、組織が深刻な攻撃を調査、封じ込め、復旧するのに役立ちます。
- セキュリティ意識とトレーニングは、従業員全体の人的要因によるリスクを軽減するのに役立ちます。
- 侵入テスト、レッドチーム、アプリケーションセキュリティ評価などのセキュリティ評価は、組織の環境で弱点がどのように悪用される可能性があるかの証拠を提供し、CISO が可能性、露出、および制御の有効性に関する仮定を検証するのに役立ちます。
- 侵害評価は、検出されなかった可能性のある過去または進行中の侵害の証拠を特定するのに役立ちます。組織の実際の露出をより明確に表示し、早期の修復を可能にし、ビジネスリスクを軽減します。
これらの機能が連携して、サイバーリスク評価を静的な報告作業からアクティブな管理プロセスに変えます。価値は、リスクを特定するだけでなく、組織がそれに対処するために必要な洞察と専門知識を提供することにあります。
成熟したサイバーリスク評価の特徴
ビジネス用語でサイバーリスクを評価する成熟したアプローチには、いくつかの特徴があります。
- ビジネス上重要な資産とプロセスから始まり
- 脅威インテリジェンスを使用して関連する攻撃者の活動を評価し
- 露出度、悪用可能性、および制御の有効性に基づいて可能性を評価します
- 影響を運用、財務、規制、評判の観点から翻訳します
- ビジネス上の影響に基づいて修復の優先順位を付けます
- シナリオと演習を通じて対応準備状況をテストします
- どのリスクが受け入れられ、どのリスクが軽減され、どの残存リスクが残っているかを経営幹部に明確に示します。
このアプローチは、CISO がより強力なビジネス パートナーになるのに役立ちます。また、サイバーセキュリティ投資が何を保護することを意図しているかをより明確に理解して、リーダーシップが意思決定を行うのに役立ちます。
重要なポイント
ビジネスの観点からサイバー リスクを評価するということは、サイバーセキュリティの決定をビジネス アウトカムに結びつけることを意味します。どの脆弱性が存在するか、どの警告が発せられているか、どの制御が欠落しているかを知るだけでは十分ではありません。CISO は、これらの問題が運用、収益、コンプライアンス、信頼、戦略的進歩にどのように影響するかを示す必要があります。
最も優れたサイバー リスク評価は、経営幹部を技術的な詳細で圧倒しません。何が重要で、なぜ重要なのか、どのような決定が必要なのかをリーダーに明確に示します。
企業組織にとって、明確さは不可欠です。セキュリティチームがビジネスへの影響が最も大きい分野にリソースを集中させるのに役立ち、取締役会が抱えるリスクを理解するのに役立ち、サイバー脅威がビジネス上の問題となった場合でも事業を継続するために必要な回復力を組織が構築するのに役立ちます。
