新しい組織でのスタートガイド

最高情報セキュリティ責任者（CISO）は、組織の安全を守るために多くの責任を担います。新たにその役割に就く人にとっては、課題はさらに大きなものになります。

業界の脅威が増大するなか、ここ数年でCISOの役割は大きく変化しました。CISOは企業のリーダーとして、人、テクノロジー、プロセスへの信頼構築を支援します。また、多くの企業でCISOが取締役会の一員となっています。

新任CISOが組織内にセキュリティを重視するエコシステムを構築し、定着させる方法を見ていきましょう。

新しい組織でCISOが実践すべき5つのステップ

1. ビジネスを理解する

最初のステップは、自社と業界について深く理解することです。自社の将来像や今後の事業計画を把握することも含まれます。そうした知識があれば、セキュリティをビジネスの推進力として活用する方法が見えてきます。

次に、自社のチームやメンバーを知ることが大切です。それぞれの役割や働き方、現在注力しているプロジェクトを把握しましょう。チームや、各チームで高い成果を上げているメンバーを知ることで、将来のセキュリティ上の障壁を取り除けるようになります。

2. 経営陣との信頼関係を築く

組織内の動向を把握するため、CISOは取締役会との関係を築くことが重要です。新たに組織に加わったCISOは、変更を加える前に、現在の戦略を理解し、それに沿って行動する必要があります。孤立していてはCISOとして成功できません。組織との一体感を持ち、取締役会の目標を理解することが求められます。取締役会から信頼を得られれば、ビジネスに大きな成果をもたらすことができます。

取締役会との信頼関係を築くには、約束したことを確実に実行するのが第一歩です。そのためにも、ビジネス目標を理解することが重要です。目標に沿ったプロジェクトほど成功しやすくなります。約束どおりに成果を出すことで信頼性が高まり、取締役会の賛同を得て、提案に耳を傾けてもらい、後押しを受けやすくなります。

3. 組織の文化を理解する

CISOが人、ビジネス、各部門について深く理解するには、企業文化を把握する必要があります。文化に十分な理解を持つことで、自分の役割や組織内での立ち位置を理解し、ビジネスに必要な取り組みを確実に進められます。

セキュリティ対策を定着させるには、組織文化に適合させる必要があります。業界によって、CISOが引き継ぐセキュリティ上の課題は異なります。たとえば、開発とセキュリティが従来別々に扱われてきた場合、CISOは既存の文化を、オープンで協力し合う方向へ変えていく必要があります。そのためには、ギャップ分析を行い、テクノロジー、プロセス、組織の種類という3つの側面を見極め、変革による混乱を抑えることが重要です。

4. セキュリティをチーム全体の取り組みにする

セキュリティはテクノロジーや手順だけでなく、チームや人にも関わるものです。組織全体に特定の対策をうまく導入するには、チーム全体で取り組む必要があります。つまり、すべてのチームの一人ひとりが、セキュリティにおける自分の役割と、安全を守るために他のチームとどう連携するかを理解するということです。マーケティング担当者がフィッシングの疑いをInfoSecに報告することも、開発者がセキュリティチームから提供された静的アプリケーションセキュリティテスト（SAST）ツールの使い方を知っていることも、誰もが担うべき役割の一例です。

CISOは問題が発生したら、その内容を把握して迅速に対応するとともに、チームが速やかに連携してインシデントに対処する必要性を理解できるようにしなければなりません。そのためには、職務にかかわらず、企業の全員が徹底したセキュリティトレーニングを受けられるようにすることが有効です。

5. 戦略的に考え、行動する

CISOには、全社的な目標と個々のチームの具体的な課題の両面から、戦略的に考えることが求められます。手順のどこに抜け漏れがあるかを見極めて対処し、全員が会社のリスク許容度と許容範囲を理解できるよう、「リスク成熟度」を高めることが重要です。セキュリティは運営コストではなく、収益に貢献するものと捉える必要があります。その考え方を提唱し、経営トップから組織全体の賛同を得ることは、CISOの責任です。

トップダウンの取り組みとしては、組織内に安全なエコシステムを構築するために必要な新しいアイデアやプロジェクトなどの資金を確保できるよう、取締役会に働きかけることが挙げられます。ボトムアップの取り組みとしては、すべての従業員がセキュリティにおける自分の役割を理解し、自らが価値ある貢献者であると認識することが欠かせません。CISOは、役職や立場にかかわらず、あらゆる従業員に明確に伝える力が必要です。