CISOが注力すべき3つの戦略的重点領域

ガートナージャパンは2025年7月23日、東京都内で開催された「ガートナー セキュリティ＆リスク・マネジメント サミット」において、CISO（最高情報セキュリティ責任者）が過度な期待（ハイプ）を成長機会に転換するために注力すべき3つの戦略的重点領域を発表しました。その3領域とは、「ミッションとの整合」「イノベーションへの備え」「変化への柔軟性」です。

生成AIをはじめとする新技術の登場により、企業はテクノロジー投資を積極化しています。一方で、セキュリティリスクへの懸念も高まりつつあります。Gartnerのアナリストであるリチャード・アディスコット氏とマーク・ホーヴァス氏は、CISOが変化の中心に立ち、組織にとって意味ある変革を導く存在であるためには、ハイプに翻弄されるのではなく、それを読み解き、活用するリテラシーが求められると指摘しました。

今回は、Gartnerが提示した3つの重点領域を軸に、CISOの今後のあり方と対応の方向性について取り上げていきたいと思います。

ミッションとの整合：セキュリティ投資に透明性を

まず重要となるのは、サイバーセキュリティの取り組みと企業のミッションの整合性です。CISOは、組織が直面するリスクを明確にし、セキュリティへの投資判断がどのように企業目標と結びついているかを、社内外のステークホルダーに対して透明に説明する責任を負っています。

その第一歩として求められているのが、「アウトカム・ドリブン・メトリクス（ODM）」の導入です。ODMは、企業が達成すべき保護レベルと現状のリスクのギャップを定量的に測定する指標であり、CISOが経営層と共通言語でセキュリティ課題を議論するための土台を提供します。

アディスコット氏は、ODMによって経営陣との合意形成が容易になり、組織全体でサイバーリスクへの対応レベルを認識・共有できるようになると説明しています。さらにその延長として、保護レベル合意（PLA）を取り交わすことにより、企業としてどの程度のリスクにどれだけの資源を投じるかを明文化し、ミッションとの整合性を実務に落とし込むことが可能になります。

セキュリティを単なるITコストではなく、経営と連動した戦略的活動と捉える姿勢が、CISOにはいま求められています。

イノベーションへの備え：AI時代のセキュリティを先導する

生成AIや機械学習などのテクノロジーが台頭する中で、CISOはセキュリティ分野におけるAI活用を先導する役割を担っています。アディスコット氏は「サイバーセキュリティは、企業がAIの価値を最初に見出すべき領域」と述べ、積極的な実証・実装を促しました。

この備えを進めるうえで、CISOが取るべき行動は3つあります。

1つ目は、CISO自身とチーム全体のAIリテラシーを体系的に育成することです。生成AIの活用は、プロンプト設計や結果の検証といった新しい知識とスキルを必要とします。これらの学習機会を組織的に設けることで、AIのセキュリティ実装における信頼性と正当性が高まります。

2つ目は、脅威ハンティングやユーザー行動分析など、具体的なセキュリティタスクへのAI導入による効果検証です。AIはルールベースでは捉えきれない異常検知やゼロデイ攻撃の兆候抽出などに活用可能であり、次世代の防御戦略に不可欠です。

3つ目は、生成AIの運用環境におけるリスク管理体制の構築です。データ保持ポリシーの見直し、入力・出力管理、カスタムAIのリスク評価といった統制手段を整備することで、AI活用の安全性と法令遵守を両立させることが求められます。

イノベーションを推進しながらも、堅牢なセキュリティを担保するというバランス感覚が、これからのCISOに不可欠です。

変化への柔軟性：ハイプを読み解き、先手を打つ

生成AIやクラウド技術の進化によって、セキュリティを巡る環境は日々変化しています。こうした変化に対し、CISOは単に追随するのではなく、能動的にハイプの波を読み解き、組織にとって最適な判断を下す柔軟性が求められています。

ホーヴァス氏は「ハイプの学び手」としてのCISOの重要性を強調します。新技術に過度な期待が寄せられる一方で、その副作用としてリスクが見過ごされがちです。CISOはそのギャップを見極め、経営と現場の橋渡し役として、適切な技術評価と導入判断を下す立場にあります。

また、変化の過程で懸念されるのが、従業員の燃え尽き症候群です。突発的な変化や反復的な作業、主体性を持てない環境は、セキュリティチームの生産性と士気に悪影響を及ぼします。これに対してCISOは、業務への裁量付与や自動化の推進、スキルアップの機会提供を通じて、メンバーの成長と変革への対応力を引き出す必要があります。

ハイプに踊らされるのではなく、それを原動力として味方につけることで、CISOは変化のなかに確かな前進の道筋を築いていくことができます。

今後の展望

Gartnerが提言する3つの重点領域は、単なる技術論にとどまらず、CISOが経営戦略の中核へと役割を広げていく方向性を示唆しています。セキュリティを"守り"から"価値創造"へと転換するには、企業ミッションとの整合性を意識した指標の導入、AIを含む先端技術への主体的な備え、そして、変化の本質を見抜き組織に浸透させる柔軟性が必要です。

生成AIやクラウド活用が今後さらに進む中で、サイバーリスクの複雑性も増していくことが見込まれます。そのような時代において、CISOの力量が企業の成長とレジリエンスを左右する鍵となります。CISOが経営と現場の橋渡しを果たす存在へと進化していくことが、今後の競争力の源泉の一つとなるでしょう。