NIS2の経営責任：取締役会の行動は変わるか？

過去20年間、セキュリティ責任者は取締役会にサイバーセキュリティを真剣に扱うよう求めてきましたが、結果はまちまちでした。NIS2はインセンティブの構造を変えます。第20条は、対象組織の経営機関に対し、サイバーセキュリティのリスク管理措置を承認し、その実施を監督し、自ら研修を受講することを求めています。また、違反について経営機関に責任を負わせます。重要事業者については、一定の場合に国の当局が、管理職に経営機能の行使を一時的に禁止することを求められます。

これで取締役会の行動は変わるでしょうか。私は変わると考えますが、自動的にではなく、また必ずしもセキュリティチームが期待する形になるとは限りません。

変わるべきこと

• 承認が実質的なものになる。 措置の承認を求められ、その責任を問われうる取締役会には、何を承認しているのかを理解する理由があります。
• 研修が任意ではなくなる。 取締役は、リスクを識別しマネジメントの実践を評価するのに十分な研修を受けなければなりません。多くの取締役会にとって、初めて共通の理解の基盤が持てるようになるでしょう。
• 監督に構造が生まれる。 措置、インシデント、進捗に関する定期的な報告が、厚意ではなく法的義務になります。

問題となり得る点

• 責任追及が形式的な確認作業を促す可能性があります。 個人的な責任を懸念する取締役会は、セキュリティの証拠ではなくコンプライアンスの証拠を求めるかもしれません。証明書やを書類が増える一方で、リスクは変わりません。
• 研修が形式的なものになり得ます。 年1回の1時間の動画は研修要件の文言を満たしますが、何も変えません。
• セキュリティチームが恐怖に頼りすぎる可能性があります。 「責任を問われるかもしれない」は一度は注目を集めますが、プログラムを維持することはできません。

取締役会が今すべきこと

1. 承認している措置を理解する。 第21条は10の分野を挙げており、実施規則はデジタルプロバイダー向けにそれらを詳細化しています。各分野について組織の現状をまとめた1ページの資料を求めてください。
2. 書類ではなく成果を求める。 重大インシデントをどれだけ速く報告できるか？ 最後にバックアップからの復旧を行ったのはいつか？ どのサプライヤーが私たちの業務を停止させ得るか？
3. 取締役会が読めるフレームワークを使う。 NIST CSF 2.0の統治機能は、まさに取締役会の領分を扱います。すなわち、組織の状況、リスク戦略、役割、方針、監督、サプライチェーンです。CSFプロファイルによる取締役会への報告を参照してください。
4. 研修を実質的なものにする。 シナリオに基づき、事業に即した内容で、繰り返し実施すること。

取締役会が明日から問うべき質問

取締役会がセキュリティを適切に監督するために、セキュリティの専門家になる必要はありません。必要なのは、書類では答えられない質問をすることです。

• 今夜、最も重要なシステムがランサムウェアで暗号化されたら、業務を再開するまでどれくらいかかるか。また、それを最後にいつテストしたか。
• 私たちに最も大きな害を及ぼし得るサプライヤー3社はどこか。そして、そのセキュリティについて私たちは何を把握しているか。
• インターネットに公開されたシステムで開いている重大な脆弱性は何件あり、最も古いものは何日経過しているか。
• インシデントが24時間以内に報告すべき重大なものかどうかを誰が判断するのか。そして、その手順を訓練したことがあるか。
• 直近の監査や評価で何が指摘され、それ以降に何が変わったか。

回答には証拠が伴うべきです。テスト結果、指標、日付などです。時間の経過とともに、取締役会の質問が経営陣の測定対象を形作ります。それこそが第20条が求める監督です。ギャップ分析では、現在お使いのフレームワークがどのNIS2の措置を既にカバーしているかを確認できます。

重要なポイント

• 第20条により、取締役会はサイバーセキュリティの承認、監督、研修を行うことになります。
• 責任追及は実質的な監督を促すこともあれば、書類作業を増やすこともあります。
• 取締役会には、書類ではなく成果と証拠を求めるべきです。

機会

第20条により、セキュリティ責任者は法律に基づいて取締役会の注意を得られるようになりました。その最善の活用法は、責任条項を振りかざすことではなく、取締役会に実質的な判断を持ち込むことです。すなわち、どのリスクを受容するつもりか、何に資金を出すか、何を見たいと考えているかです。それがガバナンスです。残りは書類作業にすぎません。

より広い全体像については、NIS2ガイドとNIS2インシデント報告手順の記事をご覧ください。NIS2フレームワークページでは、実施規則のすべてのポイントを10のフレームワークに対応付けています。

よくある質問

NIS2の第20条は経営陣に何を求めていますか？

重要事業者および重要な事業者の経営機関は、サイバーセキュリティのリスク管理措置を承認し、その実施を監督し、研修を受講し、違反について責任を問われ得ます。加盟国は職員にも定期的な研修を奨励しています。

NIS2の下で取締役は個人として責任を負うことがありますか？

NIS2は、加盟国が経営陣に違反の責任を問えるようにすることを求めており、重要事業者については、場合によっては経営機能からの一時的な禁止を認めています。責任の具体的な内容は国内法によります。

NIS2の経営機関はどのような研修を受けなければなりませんか？

リスクを識別し、サイバーセキュリティのリスク管理の実践と、組織が提供するサービスへのその影響を評価するために十分な知識とスキルを得られる研修です。実施形式は組織と国内法に委ねられています。