｢CISOが不在｣日本企業の重大すぎる経営リスク
「CISOの不在」が企業にリスクをもたらす（写真：metamorworks/PIXTA）
日本はセキュリティ人材の不足が長らく続いているが、現場だけでなく、統括を担う「CISO（Chief Information Security Officer、最高情報セキュリティ責任者）」も足りていない。
NRIセキュアテクノロジーズが2024年1月25日に発表した「企業における情報セキュリティ実態調査 NRI Secure Insight 2023」によれば、CISOを設置している日本企業は、アメリカやオーストラリアの半数以下にとどまっている。
CISO未設置の経営リスクや人材確保のポイントについて、情報セキュリティ実態調査の監修を務めた同社DXセキュリティプラットフォーム事業本部本部長の足立道拡氏に聞いた。
経営とセキュリティの両方がわかる人材が必要
「CISOは、CEO（最高経営責任者）をはじめとする経営層と、現場のセキュリティ担当者をつなぐ『通訳』の役割を担っている」と、足立氏は言う。
経営層は、セキュリティ対策の重要性を認識していても、具体的にどのような対策を打てばよいのか理解していないケースが多い。一方の現場でも、対策の必要性について経営層をどう説得すればよいのかわからず「予算獲得が難しい」と苦しむセキュリティ担当者が多いそうだ。
だからこそ、経営とセキュリティの両方を理解しているCISOの存在が不可欠だという。実際、CISOが不在の企業においては、次のようなリスクがあると足立氏は指摘する。
東洋経済Tech×サイバーセキュリティのトップページはこちら
「CISOが不在だと、本来投じるべき予算が確保されない事態が生じやすくなる。その結果、技術的な対策ができず『従業員への注意喚起や周知』といった人的対策にとどまることも多い。
今の時代は、企業規模を問わずサイバー攻撃に遭うリスクがあるので、大企業に限らずサプライチェーンの一翼を担う中小企業も、経営層と現場をつなぐ責任者を置いてほしい。本来なら専任が望ましいが、兼務でもかまわない。現状、CIO（最高情報責任者）やCTO（最高技術責任者）がCISOを兼務する形などが多い」
前述のNRIセキュアテクノロジーズの実態調査によれば、CISOを設置している企業は、アメリカでは95.5％、オーストラリアでは97.4％に達していたのに対して、日本は41.1％と大きな差が確認された。
（出所）NRIセキュアテクノロジーズ「企業における情報セキュリティ実態調査 NRI Secure Insight 2023」
従業員数が多いほどCISOの設置率も高い傾向にあるが、なぜ日本企業は海外と比べて遅れているのか。足立氏はこう説明する。
「アメリカでは、2013年に重要インフラのサイバーセキュリティ強化に関する大統領令が出て以降、対策は国の重要なイシューになった。現状、アメリカとオーストラリアのCISOは年収が高く、ボードメンバーに入っているケースも多い。
一方、日本企業においては『セキュリティ対策はコスト』という発想が根強く、対策の必要性が認識され始めたのは2018年頃のことと捉えている。そのためCISOを担える人材が十分には育っておらず、キャリアパスが確立されていないこともあり、設置が進まない状況になっている」
｢すべての能力を備えた人物｣を求めないこと
では、適任者が不足している中で、企業はどのように人材を確保していけばよいのだろうか。
CISOには「セキュリティの知識・技術」「戦略・会計などのビジネススキル」「リーダーシップと意思決定力」「コミュニケーションスキル」など、広範な知識やスキル、能力が求められる。今の日本では、これらをすべて兼ね備えたスーパーマンのような人材を、社内で見つけるのも外部から調達してくるのも容易ではない。
そのため、「1つでも優れた素養を持っている人物を任命し、『経験を積みながら、中長期的にCISOとして育ってもらえばいい』という意識で臨むことが大事」だと足立氏は助言する。
例えばセキュリティに関する知識や技術は不十分でも、高い統率力を備え戦略立案の経験も豊富にある人材を任命しようとすると、人材確保のハードルも下がるのではないだろうか。実際、日本のCISOは、さまざまなバックグラウンドを持つ人材が多いという。
「元CIOやセキュリティベンダー出身者などを外部から採用し、CISOに任命する動きが出てきた。この流れが浸透すると設置率は高まるのではないか。新任のCISOに不足している部分がある場合には、その分野を得意とするほかのメンバーを補佐役として置くなど、CISOをチームとして機能させていけばいい」
チーム体制を組むことは、次期CISO候補を育成していくうえでも有効だという。例えば外部からビジネススキルが高い人をCISOとして採用してチームを組んだ場合、セキュリティ対策に詳しい若手・中堅の社員が、CISOから優れたリーダーシップや経営視点を間近で学び、「経営とセキュリティの両方の視点を備えた人材」へと成長していくことが期待できる。
またCISOの設置後には、経営トップによるCISOへのバックアップが重要になると足立氏は言う。
「CISOは、普段の業務が賞賛されることはほとんどないうえ、自社がサイバー攻撃を受けて被害が発生した場合、非難を浴びることになりがち。そのためアメリカでもCISOが抱える孤立感やプレッシャーが大きな問題となっている。経営トップがCISOに対して、執行に必要な権限とリソースを与えたうえで、その立場を理解し、支援する姿勢を示さないと、社内にCISOを根づかせることは困難になる」
最近では、CISO同士がさまざまな課題や悩み事について率直に話し合える社外のコミュニティーが生まれている。そうしたつながりをつくることは、CISOの孤立を防ぐうえでも、学びを深めていくうえでも効果があるという。
セキュリティ対策をコストと考える企業に人は来ない
今回の調査では、企業規模によらず約9割の企業が「セキュリティ人材が不足している」と回答している。すでに10年以上、同様の傾向が続いているといい、セキュリティ人材が完全な売り手市場になっている中、「セキュリティ対策を単なるコストと考えている企業に人は来ないし定着もしない」と足立氏は警鐘を鳴らす。
「優秀な人材を確保するには、CISOの設置などによって、セキュリティ分野の充実に力を入れており、新しいチャレンジもできるカルチャーであることをアピールできるかが重要になる」
ただし、日本社会全体の労働生産人口が減少し、セキュリティ担当者の業務が増え続けている中では、人材確保の発想だけでは限界があり、限られた人材で業務を回せるよう効率化を図っていくことも大切になる。
今回の調査では、そうした効率化の面でも日本企業に課題があることが浮き彫りになった。生成AIの導入状況を尋ねた項目において、アメリカでは73.5％、オーストラリアでは66.2％の企業が「導入済み」と答えたのに対して、日本は18％に過ぎなかったのだ。
しかも、アメリカやオーストラリアはルールの整備にかかわらず導入率が高いのに対し、日本は従業員数1万人以上の企業で50％が導入しているものの、ほとんどがルールを整備したうえでの導入となっており、慎重さが目立つ結果となった。
（出所）NRIセキュアテクノロジーズ「企業における情報セキュリティ実態調査 NRI Secure Insight 2023」
生成AIへの対応が業務効率化のカギとなる
また同調査では、「生成AIサービスの利用を検討するにあたり、懸念や課題となること」についても企業に尋ねているが、目立った差が出たのが「自社業務に応用できる人材の不足」を挙げる企業の割合だった。アメリカが20.4％、オーストラリアが8.0％だったのに対して、日本企業は28.7％に上る。
こうした結果について足立氏は次のように述べる。
「新しい技術のリスクを考慮することは悪いことではないが、慎重すぎるままでは、業務の効率化という点でますます後れを取るだろう。セキュリティ業務の自動化や省力化は、今後生成AIがかなり担えるようになることが考えられ、人材不足を補う有効策となりうる。経営者は、そうしたソリューションの導入にブレーキをかけるべきではない。
また生成AIを自社業務に応用できる人材を確保するには、従業員が生成AIに触れて慣れる機会を奨励することが欠かせない。素養がありそうな人に業務と生成AIの双方を学ぶ環境を提供し、ミニマムルールと共に、中長期視点で育てていく視点も必要だろう」
今後、生成AIサービスを活用したセキュリティ対策が広がっていくであろうことを踏まえても、やはりコストを含めセキュリティ戦略を設計するCISOはキーパーソンとなるだろう。CISOの設置は今、企業にとって喫緊の課題となっている。
（長谷川 敦 ： ライター）
