取締役会のためのCTI · CIOと経営層が知っておくべきこと

取締役会から見たCTI

企業を率いる人にとって、サイバー脅威インテリジェンスはツールの問題ではありません。ガバナンス上の問いに答えるための取り組みです。その問いとは、誰が自社を攻撃し得るのか、その可能性はどの程度か、それは自社のリスクにとって何を意味するのかです。取締役会の言葉に置き換えると、CTIは不確実性（「サイバーは危険だ」）を判断（「このアクターが自社の業界を狙っている。投資すべきはここだ」）に変えます。

なぜ今、取締役会の課題なのか

経済産業省の「サイバーセキュリティ経営ガイドライン Ver3.0」（2023年3月）は、サイバーセキュリティをIT部門だけの問題ではなく、経営者が主導すべき課題と位置づけています。重要10項目には「サイバーセキュリティリスクの把握とリスク対応に関する計画の策定」や「サイバーセキュリティに関する情報の収集、共有及び開示の促進」が含まれます。取締役会が技術の専門家になる必要はありませんが、根拠に基づいて判断し、その判断を記録することは求められます。CTIが提供するのはまさにそれです。抽象的なリストではなく、実際の脅威の全体像です。

CTIから取締役会の判断へ

具体的には三つの置き換えがあります。支出の優先順位：セキュリティ予算は、その時々の流行ではなく、業界で実際に観測されたアクターと手法に従って配分します。リスク許容度：取締役会は、実在する攻撃者に基づいて定量化したシナリオを前に、どこまでのリスクを受け入れるかを決めます。報告：CTIは取締役が理解できる報告の材料となり、経営としての監督を示すうえでも役立ちます。

正しい問いと独自のインテリジェンス

十分な情報を得ている取締役会は、少数の明確な指標（表を参照）を求め、再販されたフィードではなく実際のインシデントから生まれた独自のインテリジェンスを求めます。この違いは大きなものです。後にMandiantが確認したNebula Brokerの特定は、危機になる前にリスクを取締役会に届ける能力の一例です。技術的な定義はCTIとはと防御におけるCTIの役割を、経営層の役割については経営層とサイバーセキュリティをご覧ください。