企業がサイバーレジリエンスを構築する上で解消すべき重大なギャップ

1. サイバーセキュリティレジリエンスの実装におけるギャップ
   サイバーセキュリティリスクの懸念は高まっているものの、調査対象の全項目について、サイバーセキュリティレジリエンスに向けた対応が全社的に実行されていると回答したCxOは、全体の2％に過ぎません。
2. サイバーリスクに対する準備態勢のギャップ
   クラウド環境のリスクや第三者によるデータ漏洩などは、組織のサイバーセキュリティ上で最大の懸念事項です。しかし、組織においては、これらに対する取り組みが最も遅れていると認識されています。
3. CISOの参画に関するギャップ
   戦略的な計画の策定、取締役への報告、テクノロジーの導入管理に、CISOがかなりの程度参画していると回答したCxOは、全体の半数を下回っています。
4. 規制遵守に関する自信のギャップ
   AI、レジリエンス、重要インフラに係る規制をどの程度まで遵守できるかについて、CEOとCISO/CSOとの間で、自社の能力に寄せる自信に格差が認められます。
5. サイバーセキュリティリスクの計測におけるギャップ
   CxOは、サイバーセキュリティリスクの計測が重要であること認識しています。しかし、このような計測を効果的に行っているのは全体の半分を下回り、さらに、財務上の影響について相当程度に把握できているのは、全体の15％に過ぎません。

法規制に対する組織内における認識の乖離

日本企業では、2024年の「Global Digital Trust Insights」の結果と同様に、CEOはCISOに比べて法規制の影響を過小評価する傾向があり、両者の意識に依然としてギャップが見られます（図表4、図表5）。CEOは、法規制対応の必要性を十分に認識できていない可能性があります。

図表4：新たなセキュリティ規制は、過去12カ月間に実質的な影響がなかったと答えた割合（2025年）

図表5：各デジタル規制に対して大幅な業務改革が必要と答えた割合（2024年）

日本のCISO活用における課題

日本のCISOは、グローバルに比べて経営に関与する機会が少ないという結果も出ています（図表7）。結果として、CISOを通じて組織のセキュリティ分野における課題が経営層に十分に伝達されず、組織内でのセキュリティ対応の遅れにつながっていると考えられます。

図表7：次に示す役割・業務について、CISOが積極的に関与した割合

CISOは、組織のセキュリティ分野における課題を経営層に直接伝える役割を担うことが期待されているものの、日本においては、当該の役割が十分に機能していない可能性があります。

CISOの地位向上の必要性

日本企業では、CISOが経営に参画する機会がグローバルに比べて少なく、組織全体でのセキュリティ対策に遅れが生じていることが明らかになっています。CISOの立場が依然として低く、経営に関与するための権限や機会が十分に与えられていないことが課題であり、解決のためには、組織におけるCISOの地位向上が求められます。PwC Japanグループのサイバーセキュリティリーダーは以下のような観点からCISOの地位向上の必要性に言及しています。

PwC Japanグループ サイバーセキュリティリーダーによる提言

• 経営リスクに係る説明責任を果たす上でCISOの地位向上は不可欠
  セキュリティリスクは重大な経営リスクとして捉える必要があり、法規制も強化される傾向にある。組織として各国の法規制を遵守し、ステークホルダーへの説明責任を果たすにはCISOを経営の中枢に配置することが不可欠である。（PwCコンサルティング合同会社 丸山 満彦パートナー）
• セキュリティ人材の育成を強化する上でもCISOの地位向上が必要
  日本企業は長年セキュリティ人材の不足が悩まされており、人材育成が進んでいないという課題がある。組織のセキュリティ人材育成やキャリアパスのためのインセンティブとして、CISOが経営に参画することを前提とした権限・報酬体系に見直すことが必要である。（PwC Japan有限責任監査法人 綾部 泰二パートナー）