サイバーセキュリティ

 

経済協力開発機構（OECD）は、各国政府、企業、労働組合、そして市民社会の代表が、経済成長、繁栄、持続可能な開発を促進するために協働する国際的なフォーラムですが、同機構によれば、金融機関・非金融機関が適切な権限のもとで運営する際の一般的なルールや規範を象徴するコーポレート・ガバナンスの原則が6つあります。以下のとおりです。

株主の権利：株主を有する組織（例：金融機関）では、法律で義務付けられていない場合であっても、経営判断が株主のために行われ、株主の投資と組織への信頼を守ることが不可欠です。

アカウンタビリティ（説明責任）：最高経営陣または取締役会が組織の成果に対して説明責任を負うことで、機関の一般執行部に対する適切な統制へのインセンティブが加わり、株主およびステークホルダーの利益の保全が強化されます。

取締役会の責務：責務を明確化することで、取締役会は自らに期待される事項に集中しやすくなり、経営組織を統率するために必要なスキルや知識の定義・習得も進みます。

連携と倫理：短期的な利益をもたらす場合があっても、長期的な悪影響や対立は取締役会のメンバーに深刻な問題を引き起こし得るため、偏った判断や非倫理的な選択・決定を避けるべく、倫理基準は策定され、遵守・徹底されるべきです。

組織が急速に進化し相互に連関する脅威の状況、特に組織犯罪グループや国家主導のサイバー作戦、AIを活用した攻撃、サプライチェーンの脆弱性に直面する中で、CISOの役割は大きく変革を遂げています。今日のCISOは、ビジネス戦略家であり、オペレーショナルリスクのリーダーであり、経営幹部や取締役会の信頼できる助言者として行動しなければなりません。

サイバーセキュリティを中核的な事業リスクとして位置づける動きは、近年加速しています。規制枠組みは、CISOの任命を求め、その責任体制を明確に定義することが一般的になりました。1 同時に、業務停止、風評被害、顧客信頼の毀損といったサイバーインシデントの影響は、より可視化され、深刻化しています。しかし、Global Cybersecurity Outlook 2025 の調査では、地政学的緊張の中で、最重要懸念として「ブランド毀損」と「顧客信頼の喪失」を挙げた回答者は、CEOよりもCISOのほうがほぼ2倍に上りました。この乖離は、経営層における不一致が依然として存在することを浮き彫りにしている。

「サイバーおよびテクノロジー・リスク」とは、サイバーおよびテクノロジーに関するインシデントが発生する確率と、その影響の組み合わせを意味します。「#サイバーセキュリティ」とは、情報、機器、装置、コンピュータ、コンピュータ資源、通信機器およびそこに保存された情報を、不正なアクセス、使用、開示、障害、改ざんまたは破壊から保護することを意味します。これには、サイバー空間を通じて情報および／または情報システムの機密性、完全性、可用性を維持することが含まれます。加えて、真正性、アカウンタビリティ（説明責任）、否認防止、信頼性といった他の特性が関与する場合もあります。

「サイバー脅威」とは、1つ以上の脆弱性を悪用する可能性を有し、サイバーセキュリティに悪影響を及ぼすおそれのある状況を意味します。

「サイバーおよびテクノロジー・レジリエンス」とは、金融機関が、サイバーまたはテクノロジー上の脅威や環境におけるその他の関連する変化を予期し適応しつつ、サイバーおよび／またはテクノロジーのインシデントに耐え、封じ込め、迅速に復旧することで、業務を継続して遂行できる能力を意味します。