データダンプを超えて：AI時代における取締役会、経営幹部、セキュリティリーダー向けに構築されたサイバーセキュリティ指標フレームワーク

当IDCパースペクティブでは、データに基づいた効果的なリーダーシップを実現するためのサイバーセキュリティ指標のフレームワークについて詳しく解説しています。サイバーセキュリティは、一つの分野として成熟してきました。かつてはパーカーを着た地下室住人の専売特許とされていたこのテーマは、今や経営幹部層（C-suite）やそれ以上のレベルにまで注目されるようになりました。本質的に、サイバーリスクはビジネスリスクそのものです。収益や経費に関する情報が組織のあらゆるレベルで共有されるのと同様に、サイバーセキュリティの有効性や効率性に関する情報を、業務部門、経営陣、そしてコーポレートガバナンスと共有する必要があります。

サイバーセキュリティの指標については、極めて大きな誤解が存在します。この混乱は、過去40年間にわたるサイバーセキュリティの進化と成熟の経緯に大きく起因しています。必要なのは、統合されたインテリジェンス・リポジトリから導き出された指標であり、リスク発生の可能性と、財務的あるいはその他の面におけるビジネスへの影響を明確に伝える形で表現されるものです。今日の環境では、指標や統計データだけでなく、サイバーセキュリティ・プログラム全体にわたるリスクやコンプライアンスに関するさらなる洞察やテーマを提供し、戦略的および戦術的な管理を支援する、豊富なコンテキスト情報を収集する能力が求められています。これは「データ駆動型指標」として知られています。AIの台頭は、この課題に新たな緊急性を帯びた側面をもたらしました。脅威の様相を一変させると同時に、組織自身のAI導入から生じる、管理されていない新たな種類の内部リスクを生み出しており、これら両方の側面を同等の厳格さで測定する指標フレームワークが求められています。

GRCプラットフォームは、社内外のビジネス、IT、サイバーセキュリティに関する豊富なコンテキストインテリジェンスを統合したリポジトリを活用し、データ駆動型指標を提供することができます。自動化、機械学習（ML）、AIを通じて、今日のGRCプラットフォームは、内部および外部のビジネス、IT、サイバーセキュリティに関するコンテキストインテリジェンスを統合したリポジトリを活用し、分析結果を強化することができます。

「AIの時代においては、組織がサイバーセキュリティリスクを測定する方法について根本的な見直しが求められています。AIシステムがガバナンスや説明責任なしに稼働しているにもかかわらず、取締役会にファイアウォールのブロック件数を報告するだけでは、もはや許容されません。統合されたインテリジェンス・プラットフォームを基盤とし、あらゆる対象レベルでAI特有のリスクを捕捉するように拡張されたデータ駆動型の指標は、単なるベストプラクティスにとどまりません。これらはビジネス上の必須要件なのです」と、IDCのガバナンス、リスク、コンプライアンス・サービス担当リサーチ・ディレクター、Philip Harris氏は述べています。

エグゼクティブスナップショット

• 主なポイント
• 推奨される対応策

状況の概要

• 「ここにあるのは……コミュニケーションの欠如です」
  • サイバーセキュリティ指標が誤解される理由
  • 経営陣や取締役会での会議で、サイバーリスクが効果的に伝えられない理由
  • 従来の指標がなぜ誰にとっても役に立たなかったのか
  • AIは、この課題に2つの新たな、かつ緊急性の高い側面をもたらしました
  • データ駆動型の指標
    • データ駆動型指標の特質
    • 指標を策定する際に考慮すべき要素
  • データ駆動型指標に必要なもの
• GRCプラットフォームとインテリジェンス・ファブリックの役割
  • ファブリックが実現すること

テクノロジーバイヤーへのアドバイス

• 戦略的ガバナンス指標
  • 取締役会の聴衆を理解する
  • 取締役会が理解すべきこと
  • ガバナンス指標が果たすべき役割
• 経営指標
  • 経営指標が現在取り組むべきAIの側面
• 業務指標
  • 運用指標が現在取り組むべきAIの側面
    • AIシステムのインベントリおよびガバナンス
    • AIの攻撃対象領域と脅威管理
    • シャドーAIと不正利用
    • AIの出力および「幻覚」の監視
    • AIデータの保護
    • AIのサードパーティおよびサプライチェーン
• サイバーセキュリティツールと指標

参考資料

• 関連調査
• 要約