2025年、セキュリティ戦略は「守る」から「価値を生む」へ──世界の先進企業が実践する新たな優先課題とは

ガートナーの調査によると、非業務執行取締役の93%が、サイバーリスクを株主価値に対する脅威と認識し、 そのうち98%が「今後2年で脅威は拡大する」と考えています。

また一方で、非業務執行取締役は、「競争力強化のためには、一定のリスクを取ってでもテクノロジに投資する必要がある」とも考えており、「守る」だけでなく「いかにセキュリティを成長戦略に組み込むか」が問われています。

企業や組織のセキュリティ・リーダーは、形式的な情報セキュリティ方針から脱却し、ビジネス・レジリエンスと成長支援の観点で、戦略を構築し直す必要があります。

2025年以降、企業や組織のサイバーセキュリティに求められるのは「守ること」そのものではなく、限られた経営資源の中で、いかに戦略的に守り、支え、変化に対応できるかです。セキュリティ・リーダーが取り組むべき3つの優先課題として「パフォーマンス」「レジリエンス」「アジリティ」を見ていきましょう。

セキュリティ活動の成果を可視化し、効率性と実効性の両立を目指すことが求められます。重複した対策や形骸化した運用は思い切って見直し、不要な統制は廃止する。

代わりに、セキュリティ文化の醸成や、現場で旗振り役となる“チャンピオン人材”の育成を進め、行動変容を引き起こす仕掛けが重要です。さらに、AIの導入によるプロセス最適化や、自律的な意思決定力（サイバージャッジメント）の強化によって、限られたリソースでも最大の成果を引き出す体制を築いていきます。

レジリエンスは「すべてを守る」ことを目指すのではなく、最も影響の大きい対象に守りを集中するという考え方が軸になります。

混乱を完全に回避することは不可能である以上、ビジネスにとって致命的な影響をもたらす要素を見極め、そこに投資を集中させる必要があります。そのためには、サードパーティも含めた責任範囲を明確にし、リスクを共有および連携する仕組みを整えることが不可欠です。

また、技術対策だけでなく、組織文化や行動様式にまでセキュリティを根付かせ、「障害が起こることを前提とした人材採用・訓練計画」がレジリエンス強化の鍵となります。止まらないことを前提にするのではなく、止まっても立ち直れる設計こそ、現代に求められるレジリエンスの本質です。

1. 経営連携：経営層との認識ギャップの解消

経営層はサイバーリスクを重要視する一方で、企業価値向上のためには一定のリスクを取るべきだと考えており、セキュリティ・リーダーはその板挟みに立たされています。そのため、KPIや投資の効果を、セキュリティ単体ではなくビジネス成果として可視化し、経営層と共通の指標で対話することが不可欠です。

2. 技術基盤：属人化／個別最適からの脱却

任務範囲（リファレンスモデル）とガバナンス体制（責任の明確化）を明文化したうえで、戦略から実行への各プロセスをつなぐ必要があります。企業や組織では、属人的に蓄積された対策、設定、運用がブラックボックス化している例が少なくありません。リファレンス・アーキテクチャや標準テンプレートを活用し、横断的なセキュリティの“見える化と共通化”が求められます。

3. 人材育成：担い手不足と疲弊の両立課題

セキュリティ人材のウェルビーイングを支えることで、全体の効果を高めることができます。また、レジリエンス強化のためには、障害を前提とした人材採用および訓練と、行動様式や組織文化の変革が求められます。そのため、ツールや制度の整備だけでなく、心理的安全性やチームの一体感を育てる施策が、レジリエンスとパフォーマンスの両立に不可欠です。 属人的負担や疲弊を防ぎ、サイバージャッジメント（自律的意思決定力）のある組織文化を醸成していくことが、セキュリティ・リーダーの重要な責務といえます。