デジタルレジリエンスの重要性の高まりと主要な論点

デジタルレジリエンスの構築に向けたステップと重要な論点

シンガポールのCSAによる「デジタルレジリエンスの構築」では、デジタルレジリエンスの構築するためのアプローチとして4つのステップで行っていくことを推奨しています。

1. 基本的な対策の実施

サイバーセキュリティインシデントを含むデジタル障害から組織を守るため、下記の基本的な予防策を行うことが推奨されています。ここでの重要な論点としては、「サードパーティを含めたシステムまでスコープに含めて対策を実施しているか」です。現在、ビジネスを支えるシステムとしては、オンプレミスのシステムだけでなく、クラウドや他社のサービスなどが幅広く利用されています。それらは常に相互につながっていることから、混乱が発生した場合は組織に与える影響を増幅させる可能性があるため、サードパーティを含めたシステム全体を考えることが重要と考えます。

• 資産：どのような資産（人材、ソフトウェア、ハードウェア、データ）を保有しているかを把握する
• 安全・保護：組織の資産とその環境の保護・安全を確保する
• アップデート：セキュリティの脆弱性から保護するため、ソフトウェアを更新する
• バックアップ：迅速な復旧を可能にするため、重要なデータをバックアップする

また、技術への依存度が高く、サプライチェーンが相互に連携している現代のビジネス環境においては、上記の予防策を講じるだけではデジタルレジリエンスを構築するには不十分であるため、インシデント対応計画を策定し、テストを実施することが推奨されています。

インシデント対応計画の策定を通じて、デジタル障害を引き起こすシナリオ（技術的な不具合、従業員の手順違反、サイバーセキュリティ攻撃など）を事前に特定でき、それらをテストすることでさらなるインシデント対応やBCPの改善に役立つとしています。

2. リスクベースでのアプローチを採用

リソースと対応に優先順位付けを行うため、リスクベースのアプローチを採用することが推奨されています。リスクベースのアプローチでは、まず発生可能性と影響度に基づいてリスク評価を行い、その上で組織はリスク許容度（Risk Tolerance：リスクトレランス）※1とリスク選好度（Risk Appetite：リスクアペタイト）※2に応じて対応策を検討します。ここでの重要な論点としては、「ビジネス側と現実的なリスクについて議論しながら、許容できるリスク水準を実現するための対策を検討しているか」です。ビジネス側が許容でき、かつ実現可能なリスク水準を達成するための対策を検討・実装していくことが、顧客への影響を最小限にすることへつながると考えます。

^{※1：リスク許容度（Risk Tolerance：リスクトレランス）は、「さらされているリスクについて、どの程度まで許容できるか」ということを意味します。リスクが発現した状況下においてリスクトレランスがどの程度であるかを見積もり、その範囲内に影響を抑えられるように対応することが求められます。詳細は、「オペレーショナルレジリエンス―自社業務の視点から顧客に提供するサービスの視点へ」をご参照ください。}

^{※2：リスク選好度（Risk Appetite：リスクアペタイト）は、「組織の目的や事業計画を達成するために、進んで受け入れるリスクの種類と量を示したもの」を意味します。リスクに受動的に対応するのではなく、リスクを「進んで受け入れるもの」として組織自らが能動的に定義します。詳細は、「リスクアペタイトおよびリスクガバナンス関連サービス」をご参照ください。}

3. 組織への組み込み

リスクの評価や判断は経営層が行い、BCP（事業継続計画）を整合させる必要があるため、組織のガバナンス構造（例：取締役会や委員会）へ組み込むことが推奨されています。また、インシデント発生時には顧客とコミュニケーションをとる必要があるため、マーケティング部やカスタマーサービスなどの組織の関与も重要です。ここでの重要な論点としては、「関連する規制当局との迅速なコミュニケーションを行うためのプロセスを整備できているか」です。IT障害やサイバーインシデントなどが発生した際は、規制当局などへの報告が必要になるため、事前にそれらに対する会社としてのコミュニケーション計画を立てることが重要と考えます。

4. リーダーシップの発揮

デジタルレジリエンスにおけるリーダーシップを獲得するために、次のことを行うことが推奨されています。

• 社内向け：デジタルレジリエンスの組織文化の構築
• 顧客向け：顧客との強固なデジタル信頼の構築
• サプライヤー向け：デジタルレジリエンスを構築に向けた、サプライヤーに対する影響力（サプライヤー管理）の構築

ここでの重要な論点としては、「関係者がデジタルレジリエンスの構築の必要性・重要性を理解しているか」です。デジタルレジリエンスの構築および改善には多くの関係者が協力する必要があるため、各担当者が必要性・重要性を理解することが不可欠だと考えます。これを実現するには、経営層が積極的にリードし、関与することが必要であると同時に、下記のような問いを投げかけ続けることも一案と考えます。

• 「ビジネスに大きな影響を与えるインシデントシナリオはどのようなものか」
• 「それらのシナリオに対して、対応状況はどのようなものになるのか。サードパーティ（サプライヤー）リスクは考慮できているか」
• 「どれくらいの金銭的な損失が想定されるか。財務リスクは許容できる範囲に収まるのか」
• 「今後、どのような対応を行っていくのか。どの程度の投資が必要か」