サイバーセキュリティ、議論すべきは「コンプライアンス」か「リスク」か

また、存在しない「完全な安全」を求めることにも注意が必要です。どのような企業でもサイバーリスクを完全にゼロにすることはできません。重要なのは、リスクをすべて排除しようとすることではなく、そのリスクを理解したうえで、どこに投資し、どこに重点的に対応するのかを意図的に判断することです。

医療は、その難しさをよく示す例です。書面上では合理的に見えるセキュリティ要件も、実際の現場では、止めてはならない重要な医療サービスとのバランスを取る必要があります。

例えば救急部門では、医師や看護師が共有端末を使って患者記録や検査結果、投薬情報などにアクセスすることがあります。多要素認証や一定時間後の自動ロックはセキュリティを高めますが、蘇生処置や重症外傷への対応中には、時間の制約がある情報へのアクセスを遅らせる可能性もあります。

ここで問われるのは、「サイバーセキュリティか患者ケアか」という二者択一ではありません。どのリスクまでなら受容できるのか、どのような対策が必要なのか、そしてそのトレードオフを誰が判断するのかを明確にすることです。答えは、単純にセキュリティ対策を外すことではありません。セキュリティ、安全性、業務継続を、実際の現場環境の中でどう両立させるかを考える必要があります。

これが、コンプライアンス重視の考え方と、リスクに基づくレジリエンスの違いです。コンプライアンスが「求められた対策を実装したか」を問うのに対し、リスクに基づく経営判断では、「その対策が実際の業務環境で本来の目的を果たしているか」「新たなリスクを生んでいないか」「全体として許容できるバランスになっているか」を考えます。

こうしたトレードオフは医療に限りません。安全性、業務継続、顧客サービスとセキュリティ対策のバランスが求められるあらゆる業界に共通する課題です。

サイバーセキュリティ、データガバナンス、AIガバナンスは、もはや別々に管理することはできません。ガバナンスは単にコンプライアンス要件を満たすためではなく、事業への影響、抱えているリスク、そして取り得る対応を経営層が理解し、判断できる状態をつくるためのものです。

サイバーレジリエンスの向上で成果を上げているのは、必ずしも最高峰のセキュリティツールを持つ組織ではありません。データのライフサイクル全体を通じて、適切に管理された経営資産として扱っている組織です。確かなデータ管理は、リスクを減らし、透明性を高め、AIガバナンスを支えるだけでなく、復旧にも直結します。どの情報が正しい最新版なのか、コピーがどこにあるのか、どの依存関係が不可欠なのか、何を安全に削除できるのかが分からなければ、重要なサービスを確信を持って復旧させることはできません。データガバナンスは、リスク管理であると同時に、レジリエンスを支える能力なのです。

テクノロジーによる対策は不可欠ですが、組織がサイバーリスクをどれだけ効果的に管理できるかは、企業文化にも大きく左右されます。多くのインシデントは、ベンダーとのやり取り、データ共有、業務プロセスの不備、設定ミス、ガバナンス上の抜けといった日常の業務から生じ、セキュリティ部門の目が届かない場所で発生します。

だからこそ、サイバーレジリエンスを高めるには組織全体で取り組む共同責任が不可欠です。

レジリエンスの高い組織では、重要なデータやシステムに関する意思決定の権限と管理主体を明確にし、調達、事業計画、リスク管理、経営判断にサイバーリスクを組み込んでいます。

特に重要なのが、サプライチェーンです。

多くの組織は、自分たちが考えているほどサプライヤーリスクを把握できていません。直接取引するサプライヤーを評価していても、その先にある海外のサービスプロバイダー、再委託先、テクノロジーベンダー、重要業務を支えるサービスパートナーなどの依存関係まで理解できている企業は多くありません。

こうした見えにくい依存関係は、通常時には表面化しなくても、ひとたび混乱が起きれば、事業継続、セキュリティ、さらにはデータ主権に関わる大きなリスクとなる可能性があります。

だからこそ経営層は、直接の取引先だけでなく、その先まで視野に入れてリスクを捉える必要があります。取引先やパートナー企業との関係においても、リスク管理、モニタリング、報告、インシデント対応について何を求めるのかを明確にしておくことが重要です。

こうしたリスクを管理するには、事業責任者、セキュリティ部門、経営層がビジネスエコシステム全体を見ながら連携する必要があります。サイバーに対する責任は、セキュリティ部門の中だけでも、自社の境界だけでも完結しないのです。