はじめに
本書はO'Reilly発行の技術書で、著者はセキュリティ実務の現場経験と経営コンサルティング経験を持つ2名による共著です。
テーマは一言で表すと「サイバーリスクをどう組織全体でプログラムとして管理するか」。
セキュリティを「技術部門の仕事」から「経営課題」へ昇格させるためのフレームワーク、CRMP（Cyber Risk Management Program）を体系的に解説しています。
第1章：デジタル変革時代のサイバーセキュリティ
第四次産業革命（Industry 4.0）がもたらした変化として、AIやIoT、M2Mの普及により物理とデジタルの境界が消滅しつつあると指摘しています。
著者はこの変化を5つのビジネストレンドで整理しています。
- 業界の融合：エコシステムの複雑化により、第三者リスクが増大
- グローバリゼーション：サプライチェーンリスクの国際化
- 監督への期待：規制当局・消費者からの監視強化
- 法的措置の課題：不作為が訴訟に直結する時代
- 変化する規制環境：コンプライアンスの難易度が指数関数的に上昇
本章の核心： ゼロリスク環境は存在しない。セキュリティ専門家の役割は、リスクを排除することではなく「リスク情報に基づく意思決定を支援すること」です。
第2章：サイバーリスク管理プログラム（CRMP）
2023年7月、SECは上場企業に対し、重大なサイバーインシデントを4営業日以内に開示する義務を課す新規則を導入しました。この規則は米国のみならず、世界中の企業に影響を与えています。
CRMPの4つのコアコンポーネント
| コンポーネント | 概要 |
|---|---|
| アジャイルガバナンス | 迅速かつ適応的なリスク意思決定体制の確立 |
| リスク情報システム | 体系的なリスク特定・評価・報告の仕組み |
| リスクベースの戦略と実行 | リスク許容度に基づく全社戦略と予算配分 |
| リスクのエスカレーションと開示 | 適時かつ透明性のある情報伝達と開示 |
ボーイング737 MAXの事例
本章はCRMPが「なぜ必要か」を説得力を持って示すために、737 MAXの墜落事故を取り上げています。
346名が犠牲になったこの事故の根本原因は、飛行制御システムのデジタル部品の故障だけでなく、リスクが認識されていたにもかかわらず適切にエスカレーションされなかった組織構造にありました。
- 取締役会には航空機安全を監督する専任委員会が存在しなかった
- リスク監視機能はあったが、財務リスクに偏っていた
- 現場の懸念が経営陣・取締役会に届く正式な仕組みがなかった
ボーイングはこの事件で25億ドル以上の罰金・賠償金を支払い、刑事訴追を免れるための司法取引を余儀なくされました。
裁判所が示したCRMPの必要性
ケアマーク判決（1996年）、マルシャン対バーンヒル判決（2019年）、そしてボーイング判決と、裁判例は一貫して「取締役会はリスク管理をプログラム的に実施すること」を求めています。
「ミッションクリティカル」な領域に関しては、取締役会が体系的な監視体制を持たない場合、信義誠実違反（Breach of Good Faith）として個人責任を問われる可能性があります。
2023年にはSolarWindsのCISOがSECに訴追され、CISOが直接的な法的リスクを負う時代に突入したことを本書は強く警告しています。
第3章：アジャイルガバナンス
UberのデータBreach隠蔽事件とTwitterの方針転換混乱を反面教師として、アジャイルガバナンスの7原則を展開しています。
7つの原則：
- ポリシーとプロセスの確立
- 「3ラインモデル」全体にわたる役割・責任の明確化
- 既存のリスクフレームワーク（ERM等）との整合
- 取締役会・上級役員によるスコープ定義
- 取締役会・上級役員による監督体制の確立
- ガバナンスプロセスの監査
- 役割・責任に対応したリソースとトレーニングの整備
ガバナンスはトップダウンで始まります。CRMPが機能するには、取締役会・CEOレベルのコミットメントが不可欠です。
参照フレームワーク：NIST CSF 2.0、ISO 31000:2018、IIA 3ラインモデル、NACD Director Handbook、SEC規則
第4章：リスク情報システム
リスク情報システムとは、企業全体でリスクを体系的に識別・受容・管理・軽減するための仕組みです。
5つの原則に沿って、リスクレジスターの整備、脅威インテリジェンスの活用、KRI（主要リスク指標）の設計などを論じています。
重要な視点は「完璧なリスク排除を目指すのではなく、リスク許容度に基づいた意思決定ができる情報インフラを整えること」です。
第5章：リスクベースの戦略と実行
6つの原則に基づき、リスク選好度（Risk Appetite）とリスク許容度（Risk Tolerance）の定義方法を解説しています。
この2つを明確に定義することで、セキュリティ予算の正当化が可能になります。「何を守るか」よりも「どこまでのリスクを受け入れるか」を先に決めることが、戦略的実行の起点です。
第6章：リスクのエスカレーションと開示
5つの原則を通じて、インシデント発生時および定常的なリスク開示のあり方を論じています。
SECの新規則をはじめ、NIST・AICPA・NACDのすべてのフレームワークがリスクエスカレーションと開示に言及していることを示し、これが規制対応における最重要テーマであることを強調しています。
ポイント： エスカレーションの仕組みがないと、現場が認識しているリスクが経営層に届かない。ボーイング事故はその典型例です。
第7章：CRMPの実装
企業規模・成熟度・業界固有の要件に合わせたCRMPの実装ガイダンスを提供しています。
「どこから始めるか」という問いに対し、既存のセキュリティ機能・リスク機能を棚卸しし、4つのコアコンポーネントとのギャップを特定することを推奨しています。
第8章：運用リスクとレジリエンスへの適用
CRMPを物理セキュリティ、サプライチェーンリスク、事業継続管理（BCM）、災害復旧（DR）と統合し、全社的なオペレーショナルレジリエンスを構築するアプローチを論じています。
第9章：AIとその先——リスク管理の未来
AIの進化がもたらす新たなリスク（ディープフェイク、自律的意思決定システムの誤作動など）を論じ、CRMPのフレームワークがこれらの新興リスクにも対応できる設計になっていることを説明しています。
「テクノロジーが変わってもリスク管理の本質は変わらない」という著者の一貫したメッセージで締めくくられています。
全体を通した所感
本書の主張を一行で要約するならば、**「サイバーリスクはミッションクリティカルな経営課題であり、プログラムとして実装されなければ意味がない」**です。
セキュリティ担当者が「技術的な問題を解決する人」から「リスク情報に基づく意思決定を支援するビジネスパートナー」へと役割を進化させるための論拠と実践フレームワークが、体系的に整理されています。
NIST CSF 2.0・ISO 27001・ISO 31000・AICPA・NACDといった標準・規制との対応関係が豊富に示されており、実務での活用という観点でも参照価値が高い一冊です。
参考リンク
- 本書：Building a Cyber Risk Management Program (O'Reilly)
- CRMPフレームワーク：http://www.crmp.info
- NIST CSF 2.0：https://www.nist.gov/cyberframework
- SEC Final Cyber Rule（2023年）：https://www.sec.gov