サイバーリスクを説明するのは、以前から容易ではありませんでした。新たな資産が導入され、気づかないうちにセキュリティ対策が機能しなくなり、事業そのものも変化し続けます。サイバーリスクを経営層に伝える共通の方法について、業界で合意が形成されたことはありません。また、多くの組織が従来から使い続けているツールは、そもそも取締役会が実際に問う内容に答えるためのものではありません。
セキュリティチームが日常的に使う言葉は、社内のほかの部門に必ずしも伝わるとは限りません。定性的なリスクスコア、CVEなどの脆弱性識別子、セキュリティ対策のフレームワークは、弱点を特定し、最も重要なリスク軽減策を判断するうえで欠かせません。しかし、取締役会が求めているのは、現場の活動を列挙した報告ではありません。こうした指標をそのまま持ち込むと、専門用語が議論を妨げ、実りのある対話にならないことがあります。
経営層が知りたいのは、「それが起きたら、どれだけの損失が生じるのか」ということです。その問いに答えるには、リスクデータと事業の状況を組み合わせ、その結果を経営層に伝わる言葉に置き換える必要があります。それが、サイバーリスクの定量化（CRQ）の基本です。自社の環境で特定のリスクシナリオがどの程度起こりやすいのか、事業にどれほどの金銭的損失をもたらすのか、そして次にどのような対策を取るべきかを示します。
経営の言葉で語る理由
目的は、意思決定を支えることです。サイバーセキュリティでは、最も重要な課題から目を離すわけにはいきません。すべてを同じように守るだけのリソースはなく、何が最も重要かを見誤る余裕もありません。予算や投資判断の根拠を示す共通の尺度がなければ、優先順位は合理性よりも社内の力関係で決まってしまいかねません。
セキュリティ責任者にとって、経営層との対話が大きなストレスを伴う議論になることもあります。技術的な警告が伝わらないと、経営層はセキュリティチームを、問題を大げさに取り上げて事業の妨げになる存在と見なすようになるかもしれません。ひとたび信頼を失えば、リスクの高い事象への警告さえ無視され、必要な支援を得られなくなるおそれがあります。信頼を築くには、経営側がすでに理解している言葉で、取り組みとその根拠を示すことが欠かせません。
実務面でも、自社がさらされているリスクを定量的に把握できれば、組織のリスク特性や必要となる補償額をよりよく理解したうえで、サイバー保険の検討に臨めます。また、国や地域によっては、重大なサイバーセキュリティインシデントが発生した際に、規制当局から情報開示を求められる場合があります。財務への影響を把握しておくことは、開示が必要かどうかを判断する助けになります。
定量化につきまとう難しさのイメージ
「定量化」をうたうツールに懐疑的な見方があるのも、無理はありません。保険数理の専門教育を受け、専門家に何カ月も支援してもらわなければ使えないという評判があるためです。
従来のCRQ導入が複雑だった主な原因は、データ収集の煩雑さにありました。担当チームは、資産台帳、セキュリティ対策の成熟度評価、攻撃履歴を手作業で集め、リスクにさらされている範囲を特定し、それらすべてをモデルに対応付ける必要がありました。そこまでしても、得られるのは一時点のリスクを切り取った情報にすぎません。経営向けの分析結果も、取締役会に届く頃には古くなっているのであれば、従来の技術的なリスク指標から切り替えても、大きな改善にはなりません。
よく聞かれる批判の一つが、CRQはブラックボックスだというものです。金額を提示するだけで、その数字を経営幹部にどう説明するかを利用者任せにするべきではありません。リスクの定量化では、手法を透明にし、数値の算出過程と内訳を明確に示す必要があります。後から誰かが意味を読み解いたり、根拠を問い直したりせずに済むようにするためです。
最新のCRQの仕組み
リスクの定量化の恩恵を受けるために、その専門家になる必要はありません。TrendAI™が、複雑で手間のかかる処理を自動で担います。天気予報で降水確率70％、予想降水量1インチと聞けば、傘を持っていくかどうかを判断できます。TrendAI Vision One™ Cyber Risk Quantification（CRQ）も、ランサムウェアによるインシデントやフィッシングを通じた金銭詐欺といったリスクシナリオについて、同じように判断を支援します。
シナリオの発生確率を求めるために、モデルは複数の情報源から自動でデータを取り込みます。自社環境から直接得られるテレメトリ（攻撃の試み、リスクへの露出状況、セキュリティ対策の有効性）、当社のプラットフォームを利用する類似組織の匿名化データ、そしてグローバルな脅威インテリジェンスです。利用者がスプレッドシートに入力したり、四半期ごとに改めて評価をやり直したりする必要はありません。稼働中の環境から直接データを読み取り、自動で更新します。
シナリオが財務に及ぼす影響は、事業によって異なります。当社は簡単な質問票を通じて事業の状況を把握します。類似企業についての情報を基に、AIが回答をあらかじめ入力します。また、損失の規模を抑えられる既存のセキュリティ対策に加え、業界平均の侵害コストといった公開データも評価します。
モンテカルロ法を用いて数万回のシミュレーションを実行し、信頼区間を伴う結果の幅と、最も起こりやすい金銭的な損失額を算出します。誰にも実現できない精度があるかのように見せるのではなく、結果を幅で示すことで、ばらつきを織り込みます。
数値が得られたところで終わりではありません。従来の手法では、算出した金額をリスク軽減策に結び付けるために、別のプロセスが必要でした。TrendAI™は、算出したすべての金額を対処方法に対応付けます。どの対策が金銭的なリスクを最も大きく減らし、どれだけの削減効果をもたらすのかを、明確に把握できます。
数値の精度を左右するのは、背景情報
定量化した数値の質は、その基となるデータの質で決まります。連携していない十数個のツールから断片的なデータを集めてモデルに入力しても、得られるのは互いに結び付かない十数個の知見です。自社の仕組みで直接取得できる豊富なテレメトリがあれば、データ間の相関をより的確に捉え、運用の実情を踏まえることで、数値の精度を高められます。データの取り込みを外部製品との連携に全面的に依存すると、複雑なデータパイプラインを構築・維持する仕事まで増えてしまいます。プラットフォーム内で完結する仕組みは、運用負担を軽減します。外部のデータでモデルを強化することはできますが、モデルを成り立たせるために必須ではありません。
セキュリティと経営戦略を結び付ける
CRQは、アタックサーフェス管理、脆弱性管理、コンプライアンス管理などと並ぶ、TrendAI Vision One™ Cyber Risk Exposure Management（CREM）の構成要素です。CREMは、提示する数値に自信を持てるよう、その根拠となる背景情報を提供します。現場で扱う技術的なリスクと、取締役会で扱う経営上のリスクを、別々の報告書ではなく、一体として捉えられるようになります。
経営の言葉でリスクを伝えるために、何カ月も手作業に費やす必要はないはずです。CREMを使って自社のサイバーリスクを金額で把握する方法については、こちらをご覧ください。
参考記事
The Boardroom Debate: How Cyber Risk Hits Your Bottom Line
By : Sanjana Sadh
翻訳：与那城 務（Platform Marketing, Trend Micro™ Research）