Leaders編集委員)リスト東京オリンピックの開催が迫り、日本企業に対するサイバー攻撃の激化が予想されている。DXや働き方改革といった近年日本社会に大きな変化をもたらしつつある潮流に対しても、セキュリティリスクに対する恐怖や不十分な備えから、積極的なアクションをためらう企業が少なくない。2020年になってもなお、多くの日本企業にとってのセキュリティは手を付けにくいコストセンターで、戦略的な投資が進みにくい苦手分野のままだ。この閉塞した状況を何とか打開できないものか──そんなことを考えていたところ、シスコシステムズの説明会に登壇したCISOのスティーブ・マルティーノ氏から大きな示唆を得た。シスコの自社事例として紹介された経営戦略とセキュリティの一体化の方法と実践だ。これまでのサイバー攻撃事案の報道から明白なように、セキュリティリスクの放置は間違いなく、企業活動の停滞と企業価値の損失を招くことになる。オリンピック開催を半年後に控えた現在、高まる一方のセキュリティリスクに対し、日本企業はこれまでのように無策でいるのではなく、戦略的に対処する必要に迫られていることは明らかだ。具体的にどのような姿勢でセキュリティに臨むべきなのか。Martino)氏(写真1)のプレゼンに多くのヒントが示されていた。以下、同氏がグローバル大手企業のセキュリティリーダーとして取ってきたアプローチから、経営戦略にセキュリティを統合することの必然性、実践のポイントを考えてみたい。シニアバイスプレジデント兼最高セキュリティ責任者(CISO)のスティーブ・マルティーノ氏みずからをセキュリティ企業と名乗るシスコ"Cisco"という社名を聞けば、たいていの人がネットワークの会社とイメージするだろう。ここ数年の同社はみずからをセキュリティカンパニーと名乗ることが多い。それは単にセキュリティソリューションを提供したり、ルーターなどネットワーク機器のセキュリティ機能を拡充していることだけを指すのではない。グローバルで約13万人の従業員を抱えるシスコという大企業が、セキュリティの強化を重要な事業戦略として展開した結果、同社自身のデジタルトランスフォーメーション(DX)を促進し、企業として大きなアドバンテージを獲得したことも含んでいる。自身の大規模プロジェクトとして、経営戦略にセキュリティを統合させてきたわけだ。「シスコは4年前の2016年にミッションを大きく変更した。そのミッションとは『すべてをセキュアに接続して、あらゆることを可能に』というものだ。当社はもともと"つなぐ"ことが得意な企業だが、ただ接続するだけではすでに不十分となっていた。顧客にセキュアな接続を提供するためには、まず当社自身がセキュアな企業にならなければいけなかった。そこであらゆる戦略においてセキュリティを段階的かつ継続的に含めていく方針を策定した」(マルティーノ氏、写真2)写真2:マルティーノ氏は「シスコは世界最大のセキュリティベンダー」と明言し、3つのステップに裏打ちされたセキュリティ戦略がセキュリティベンダーとしての信頼感のベースとなっていることを説明した拡大画像表示では、シスコはどのようにセキュリティカンパニーへの道を歩んでいったのか。マルティーノ氏はセキュリティの「統合」「コントロール」「適用」という3つのステップについて説明している。(1)統合:ファブリックにセキュリティを埋め込む企業という組織全体をセキュリティ体質に変えていくには、従業員ひとりひとりが業務のあらゆるシーンにおいてセキュリティを意識する機会を増やすことが重要となる。Security(InfoSec)チームが存在していたが、2012年頃からサプライチェーン、社内の運用モデルおよび開発モデルにセキュリティをネイティブに組み込むようにしている。結果として、ビジネスファブリック全体にセキュリティが組み込まれ、経営層を含めてセキュリティへの意識が高まり、ブランドプロミスにもセキュリティが含まれるようになったことで、透明性という点において顧客から評価されるようになった(写真3)。写真3:シスコがセキュリティをビジネスファブリックに組み込むまでの進化の変遷。数年かけて、業務上の重要なポイントにセキュリティを織り込んでいった拡大画像表示また、全社規模で運用する包括的なセキュリティアーキテクチャを策定、「ポリシーおよび標準事項」「セキュリティオペレーションおよびモニタリング」「アイデンティティおよびアクセスにおけるガバナンス」「アプリケーションセキュリティ」「データセキュリティ」「インフラストラクチャセキュリティ」という6つのフレームと、これらのアップグレードやパッチ当てなどを含めて体系化。このアーキテクチャはシスコが顧客に対して提供するソリューションにおいても基本のフレームワークとなっている(写真4)。写真4:シスコでは社内のワークフローとITを紐づけるにあたって順守すべきセキュリティアーキテクチャを6つのフレームに定めている。セキュリティベンダーとして顧客に提供する製品もこのアーキテクチャに沿っている拡大画像表示このように社内のセキュリティ戦略に責任を持ち、その重要性を浸透させていくことが、マルティーノ氏のようなセキュリティリーダーの責務であり、経営層はその活動を支援する義務がある。シスコのような大企業であれば、全社員へのアプローチを迅速に進めるためにも経営層のコミットは大前提だ。セキュリティがトップダウンで始まらなければ成功しないという理由はここにある。目指すべきID起点のゼロトラストとは?未知の脅威をほぼ100%検出/排除。最新「ソフトウェアサプライチェーン攻撃」の手口とその防ぎ方とは?ワークプレイスでの生成AI活用の“現実解”あるべきクライアント環境、求められる要件とは生成AIがビジネスコンテキストを理解し、プロセス改善を提案。10の寿命は残り1年半。人材不足解消の鍵はノーコード活用、データ連携とAI/IoTで真のハイパーオートメーションの実現をDX支援のための先進技術は自社を“実験場”に─データ仮想化や生成AIの意義と効果とは?ハイブリッドワークで浮上した会議の不平等性。Leadersの会員限定公開記事を読むことができます。Libraryもご利用いただけます。目指すべきID起点のゼロトラストとは?未知の脅威をほぼ100%検出/排除。最新「ソフトウェアサプライチェーン攻撃」の手口とその防ぎ方とは?ワークプレイスでの生成AI活用の“現実解”あるべきクライアント環境、求められる要件とは生成AIがビジネスコンテキストを理解し、プロセス改善を提案。10の寿命は残り1年半。人材不足解消の鍵はノーコード活用、データ連携とAI/IoTで真のハイパーオートメーションの実現をDX支援のための先進技術は自社を“実験場”に─データ仮想化や生成AIの意義と効果とは?ハイブリッドワークで浮上した会議の不平等性。脱却し、プロセス変革を遂げるために何をなすべきか。最新動向を中心にプロセスマイニングの実践のさまをお届けする。ご所属のお客様でも、ご所属企業(または団体)におけるIT化を推進されるお立場の方にもお読みいただけます。詳細はこちらmoreシスコをセキュリティカンパニーに変革したCISOが説く「企業戦略としてのセキュリティ」東京オリンピックの開催が迫り、日本企業に対するサイバー攻撃の激化が予想されている。DXや働き方改革といった近年日本社会に大きな変化をもたらしつつある潮流に対しても、セキュリティリスクに対する恐怖や不十分な備えから、積極的なアクションをためらう企業が少なくない。2020年になってもなお、多くの日本企業にとってのセキュリティは手を付けにくいコストセンターで、戦略的な投資が進みにくい苦手分野のままだ。この閉塞した状況を何とか打開できないものか──そんなことを考えていたところ、シスコシステムズの説明会に登壇したCISOのスティーブ・マルティーノ氏から大きな示唆を得た。シスコの自社事例として紹介された経営戦略とセキュリティの一体化の方法と実践だ。