脅威は無限ですが、リソースは無限ではありません。そのため、先進的な企業では、これまでとは異なるアプローチに変え、VaR(バリュー・アット・リスク：想定される最大損失額)を中心とした復旧対応力の構築に注力しています。中でも最も先進的な企業は、定性的及び定量的なリスク管理法を用い、基幹となる資産と事業・製造プロセスへの甚大なサイバーリスクの洗い出しを行っています。こうして明らかになったリスクに、優先順位を付け、資金を投入しているのです。さて、リスク主導型の復旧対応力戦略の理想的なロードマップとは、どのようなものでしょうか。

企業がサイバー攻撃から自社を守るためにできることを全て行ったとしても、サプライチェーンを通じて攻撃や破壊の被害を受ける可能性は否めません。その結果、第三者のリスクは、サイバーセキュリティ上の最も緊急な課題の1つとなっています。サプライチェーンには、何千もの第三者が幾重にも関わる可能性があり、とても困難な作業に思えます。しかし、企業はサイバー復旧対応力への対策を講じる事で、攻撃が発生した際のドミノ効果を断ち切る事ができるのです。

企業の中で、未だに自社データセンターだけで業務をサポートしているところは、ごくわずかです。今日、ほとんどの企業は少なくとも1つのパブリッククラウドプロバイダーを利用しており、多くがマルチクラウドを導入しています。クラウドへの移行は、戦略的な機会を生み出し、求められるセキュリティ、復旧対応力、スキル、そして人材も大きく変化しました。企業は、クラウドへの移行を安全に進めるため、セキュア（安全な）アーキテクチャから専用テクノロジーに至るまで、あらゆる面で復旧対応力を組み込む必要があります。

現在、ITとOT（Operational Technology: オペレーショナルテクノロジー）の世界は融合し、航空機、発電所、そしてパイプラインまでもが、デジタル技術に大きく依存するようになりました。このため、こうした企業や組織へのサイバー攻撃や破壊活動は、甚大な被害を引き起こすようになり、その数はここ数年で急増しています。オペレーショナルテクノロジーをサイバー脅威から守ることは、今や必要不可欠なのです。悪意のある者からの攻撃がますます増え、手口が巧妙化する中、業界は単に情報セキュリティに関する規格を遵守する事に留まらず、サイバー復旧対応力を備える必要に迫られています。

今日は、サイバー攻撃があるだろうなと思いながら会社に出勤する人はいません。そのため、実際にサイバー攻撃を受けると、衝撃を覚え、不意を突かれた感じがします。しかし、サイバー攻撃は、組織の戦略や能力の弱点を突いた「予測可能な驚き」なのです。備えのある企業は、サイバーセキュリティを偶然の出来事として片付けず、サイバー攻撃を予測し、対応するための戦略的能力を構築する事に焦点を当てています。このような状況の中、企業はどのように準備し、危機が甚大な障害と成る事を防げるのでしょうか。