危機に高い耐性力を発揮「PDCA+3S」とは
――大規模な情報漏洩のほか、企業のサイトへの不正な侵入などの事件・事故が頻発しています。これらのITセキュリティリスクに対応するにはどのような取り組みが必要でしょうか。
伊藤 ITセキュリティリスクも年々多様化しています。たとえば、特定の企業を狙って情報の窃取などを行う攻撃では、かつては業務メールに見せかけて添付ファイルを開かせたり特定のサイトに誘導させたりする「標的型攻撃メール」が主流でした。ところが最近では、水飲み場に集まる獲物を肉食獣が待ち伏せするように、特定の企業やユーザーがよく利用するサイトにウイルスを埋め込む「水飲み場型攻撃」も増えています。
このような非常に手の込んだ手法に対応するには、「セキュリティのPDCAを回す」といった平時の行動に加え、危機のときに高い耐性力を発揮できる行動原理が求められます。私はこれを「PDCA＋3S」と表現しています。「3S」とは、危機が訪れるタイミングや大きさを事前に（あるいは事後速やかに）察知する「感知力（Sensor）」、PDCAサイクルを素早く回す「高速回（Speed）」、健全な危機意識を社内に醸成する「危機意識（Sense of urgency）」を表しています。企業の事例を見ると、高い危機耐性力を持つ企業はいずれもこの「3S」を有していることがわかります。
――「危機耐性力」と言うと、IT部門だけでは対応できないように思います。
伊藤 経営者を含む全社員が危機意識を持つことが重要です。特に経営者は、いち早く危機を察知して社員に知らしめなければなりません。ひとたび事件や事故が起きると、経営に大きなインパクトを与えるだけに、ITセキュリティリスクは経営リスクそのものと言えます。
欧米の企業経営者は敏感で、ITに詳しい人も多いのですが、日本企業の経営者は、依然としてITに関する知識が乏しく、関心も低いようです。「ITはなぜこんなに金がかかるのか」と、「コスト」としてとらえている経営者も少なくありません。
このような経営者は、ITセキュリティリスクへの対応を「守りのIT」と考えがちですが、ITを活用して利益を生む攻めの経営に目を向けてほしいところです。ある大手建機メーカーでは、建設機械に組み込んだ情報通信システムを活用して機械の稼働率を読み取り、需要の先行きを予測するとともに、中国など海外の工場の操業を調整しています。ITを活用し、危機耐性力を鋭敏にしている好例です。
一方、政府も、経営者の「攻めのIT経営」への意識改革を進めようとしています。昨年12月には経済産業省と東京証券取引所が共同で、経営革新や競争力の強化のためにITの積極的な活用に取り組んでいる企業を「攻めのIT経営銘柄」として選定する制度が始まりました。この5月には、選定された企業が公表される予定です。
ITセキュリティリスクもステークホルダーと対話を
――政府は、企業がサイバー攻撃を受けた場合に想定される経営上のリスクを有価証券報告書（有報）などに開示する仕組みなどについても検討を始めています。
伊藤 興味深いデータがあります。私の研究室出身のある准教授の研究によれば、情報漏洩などの不祥事を起こした企業のうち、有報などで事前にリスクの有無や対応策などについて情報開示していた企業は、何も開示していなかった企業に比べ、一時的に下落した株価の戻りが早かったというのです。
アナリストや投資家は、企業の将来性に関心があります。有報などにITセキュリティリスクに関する記載があれば、危機耐性力があると判断し、企業価値を大きく毀損することはないと安心してもらえるのでしょう。大切なのは、このようなステークホルダーとの対話です。ただし、これまでは、開示報告書のフォーマットや記述方法が企業ごとに異なっていたり、無形資産（非財務情報）の開示が不十分だったりしました。そこで、2013年には国際統合報告評議会（International Integrated Reporting Council：IIRC）から、国際統合報告のフレームワークも発表されました。
このほか、国内でも、機関投資家を対象とする「日本版スチュワードシップ・コード」がすでに始まっており、投資される側の企業を対象とする「コーポレートガバナンス・コード」の原案も取りまとめられています。
私は昨年、｢持続的成長への競争力とインセンティブ〜企業と投資家の望ましい関係構築〜」プロジェクトの座長として最終報告書（伊藤レポート）をまとめました。今後はこれまでとは比較にならないくらい、投資家と経営者の対話の機会が増えるでしょう。
――対話を行う機会が増えるとなると、経営者の説明次第で、情報セキュリティリスクに対する知識や危機耐性力が如実にわかってしまうことになりそうです。
伊藤 「ITはわからないので、部下が説明します」というのでは、投資家の信頼も得られません。
もちろん、経営者が社内のあらゆるシステムに精通しておく必要はありませんが、万一のときにどのような行動をしようと考えているのか、自分なりのシナリオを描いておくことが必要です。社外との対話だけでなく、最高財務責任者（CFO）や最高情報責任者（CIO）、さらには現場のスタッフと日ごろから対話し、ビジョンを示して自らの言葉で語れるようにしておくことも大切です。
日本の企業組織は縦割り化されているところが多いのですが、情報セキュリティの課題は全社的な「横串」を通さなければ解決できません。まさに経営者の仕事と言えます。日本企業を取り巻く環境が劇的に変化し、リスクもグローバル化、多様化が進んでいます。「ピンチをチャンスに」と言いますが、この変化にスピーディーに、前向きに対応し、競争力を築いてほしいと願っています。
