Keynote Speech 2016

基調講演

リスクマネジメント協会 2016年次大会 RIMS JAPAN CHAPTER CONFERENCE

ＥＲＭ（エンタープライズ・リスクマネジメント）
におけるサイバーリスク戦略
DEVELOPING A CYBER RISK STRATEGY
2016 年度RIMS 理事長

ジュリー・ペンバートン
Julie Pemberton

ジュリー・ペンバートン 自己紹介
本日は、みなさまの前でこのようにお話をする機会をいただき、

JULIE PEMBERTON INTRODUCTION
Thank you so much for giving me the opportunity to speak

誠にありがとうございます。私は、ジュリー・ペンバートンと申しまwith you today.

す。RIMS の 2016 年度の理事長です。私は RIMS に参加してMy name is Julie Pemberton and I am RIMS 2016 President. I’ve

16 年以上、リスクマネジメント、保険の仕事に携わるようになって

been a member of the Society for more than 16 years and haveから既に 25 年以上になります。

worked in the risk management and insurance industry formore than 25.

私が勤務するアウターウォール社での私の仕事は、エンタープ

In my current role with Outerwall, I lead the enterprise risk

ライズ・リスクマネジメントとグローバルに保険を管理することです。

and insurance practice globally. Outerwall is a public company

アウターウォール社は、「OUTR」という銘柄略称でニューヨーク

listed on the New York Stock Exchange under the ticker symbol

証券取引所に上場しています。我社は、米国、カナダ、アイルラ“OUTR.” We are a leading provider of automated retail

ンド、英国において自動両替機、ATM、レンタルビデオ等小売

solutions in the United States, Canada, Ireland and the United

店における自動販売機を販売している会社です。設立当社は、Kingdom. The company was founded as Coinstar Inc. with

我社で最も知られている自動両替機コインスターの名前を使い

its most mature line of business bearing the same name. The

Coinstar Inc.としていました。その後、我社は年商 20 億ドルまcompany has grown to annual revenue of more than $2 billion

で成長しました。

US dollars.

私の現在の職域は、私が以前「チキータバナナ」の会社で

In my immediate prior role, I led t he sa me f unctions

勤務していた時と同じです。当時のチキータバナナは社員数約

for Chiquita Brands, Inc. At t hat time, Chiquita had

25000 名、米国、英国、アフリカ、ラテンアメリカ、スイス、バミュー

approximately 25,000 employees with product in more than 60

ダに拠点を置き、６０カ国で商品を販売していました。チキータ社

countries and a business footprint in the United States, Unitedの前には、グローバルなブローカーであるAON 社に在籍し、多Kingdom, Africa, Latin America, Switzerland, and Bermuda.

数の業界の様々な企業からのリスクマネジメントに関する要請にPrior to my employment with Chiquita, I worked for a global

対応しました。

broker (AON Risk Services, Inc.) and in that role I served avast array of industries with various client needs related to risk
management.

広い範囲でリスクマネジメントに携わってきた私が迷いなく言え

I’ve experienced a broad view of risk management and I can

ることは、「リスクの専門家という職業は、今後も進化し続けるととsay without doubt, our world as risk professionals continues to

もに、その責任範囲はますます広がっていく」ということです。

evolve – and our responsibilities continue to grow.

9Keynote Speech 2016

リスクが顕在化した際の影響の軽減に加え、好まざる事象のIn addition to mitigating the impact of risk, we are initiating

発生を阻止するだけでなく、リスクを受け入れ、リスクテイクするこ

creative ideas and developing solutions to not only preventとによりビジネスを成長させるという考えを創造し、そのリスクマネ

unwanted risks but to embrace and enable risk taking that

ジメント手法を開発しています。

optimizes business growth.

どの発明も、どのスタートも、プロセスもガイドラインもプロトコー
ル、基準も全ては発想から始まるのです。

Every invention. Every startup. Every process, guideline,
protocol and standard starts with an idea.

今年度の RIMS の活動は、近年改訂した活動指針である「世This year, RIMS will stay true to its newly revised mission

界のリスクマネジメント社会に対し、教育、保証、主張すること」

statement….to educate, engage and advocate for the global riskを実践します。

management community.

RIMS の第６２代理事長として以下の活動を行います。
●

快活で情熱的な会員の皆様と会い、多くを学びます。

●

RIMS がリスクマネジャーの将来に焦点を当てた活動をする●

As RIMS 62nd President, I look forward to:●enthusiastic membership;

よう導きます。

●

helping RIMS focus on the future of our profession;

皆様のリスクマネジメントに関する創造性の障壁を取り去り、●

Unlocking and advancing your risk management creativity;●

helping you convert your ideas into valuable resources for

皆様の発想力を促進させます。
●

Me e t i n g w it h a nd le a r n i n g f rom ou r br i g ht a nd

皆様の考えが所属組織で貴重な資源として受け入れられるand

ようサポートします。

OUTERWALL

your organization.

OUTERWALL

私が現在携わっている職務に関し、もう少しご説明させていた

Let me tell you a bit more about my role with Outerwall.

だきます。
私の仕事は、グローバル・エンタープライズリスクマネジメントのMy job requires me to partner with senior leadership, strategic

プロセスを実行するために、経営陣、戦略計画、コンプライアン

planning, compliance, information security, internal audit,

ス、情報セキュリティ、内部監査、法務、そしてオペレーションのlegal, and operations to execute upon global enterprise risk

各部門と関わることが必要です。また、私のチームは各部門におmanagement processes. My team also designs and places

ける保険の設計と購入、そして保険金請求が発生した際の処理

insurance programs for the organization and manages relatedを行っています。

claims that occur.

私はこれまでの経歴で、様々な保険をカスタマイズしてきました。例えば、以下のような内容です。

insurance including:●

D&O 保険●directors & officers

●

信託

●

fiduciary

●

労災

●

employment practices

●

犯罪

●

crime

●

スペシャルリスク●

special risks

●

財産

●

property

●

貨物

●

cargo

●

船舶

●

marine●空輸●

aviation

●

医療事故

●

medical malpractice,●

そして、サイバーリスクです。

●

AND, cyber risk.

トピックの紹介TOPIC INTRODUCTION

このリスクマネジメント及び保険の領域で最後に掲げた「サイ10Throughout my career, I have customized many areas of2016 March

It’s this last area of risk management and insurance – Cyber基調講演

バーリスク」が現代社会において、世界中のリスクマネジャーがRisk – that has become THE top concern for risk professionals

最も懸念しているリスクです。そして、それにはそれなりの理由がaround the world. And, there is good reason why.

あるのです。
昨年、Allianz Global Corporate & Specialty 社が、「サ

Last year Allianz Global Corporate & Specialty produced a

イバーリスクへのガイド」という報告書を作成しました。同社は、report titled, “A Guide to Cyber Risk.”

世界をリードする企業のサイバー犯罪による被害額を算出しましThe company estimated the annual cost of cybercrime for theた。

world’s top leading economies.

その金額は驚異的です。ここ日本だけでも、その費用の概算

The numbers are staggering. Here in Japan alone, the cost was

は 9 億 800 万ドル（約 1000 億円）です。中国約 600 億ドル、私のestimated at $908 million (US dollars). In China, $60 billion

国アメリカは 1080 億ドル（約 13 兆円）です。このチャートにあるand in my home country, the United States, $108 billion. All of

国々は、確実にこのリスクの影響を受けています。

the countries on this chart are certainly experiencing the fullforce of this risk.

日本の年金機構、ヤフー、一時は世界最大のビットコイン交換

Cyber breaches like the ones at the Japanese Pension Service,所であったマウントゴックス社、ソニーピクチャーズ社などがこの情Yahoo Japan Corporation, the Tokyo-based Mt. Gox – which

報セキュリティ侵害の被害額の中心となりました。

was once the world’s largest Bitcoin exchange – and Sony
Pictures contributed to this number.

私の調べでは、日本はサイバーリスク対策の主導者として大きFrom my research, it seems that Japan is making great strides in

な飛躍を遂げているように思われます。2020 年のオリンピックに向

its cybersecurity initiatives. The country’s work surrounding

けての活動が１つの良い例です。日本は、有識者としてハッカー

the 2020 Olympics is a great example. Inviting ethical hackersを招聘し自分達のデータシステムの耐久性を検査しています。こto come in and test the strength of their data systems is an

れは、有効的な戦略です。

effective strategy.

日本は、技術分野において常に世界のリーダーとして君臨してJapan has always been the world’s leader in technology.

きました。日本のビジネスリーダーは、日本が技術分野のリーダー

Business leaders here are now realizing that in order to remain

であり続けるには、資源を投入し世界で最も優秀なサイバーセキュ

the best in this sector, it’s critical that they devote their

リティ国となることが必須であるということに気づき始めたのです。

resources to becoming the world’s leader in cybersecurity.

Identity Finder and Ponemon 研究所が発行した「2014 年

A report by Identity Finder and Ponemon Institute titled “2014:

度の巨大情報セキュリティ侵害事件」では、米国最大手チェーン

Year of Mega Breaches” looked at Target, a retail giant in the

ストア「Target」社を取り上げ、同社がサイバーリスクの重要性をUnited States, and their catastrophic breach’s impact on the

強調するキッカケとなった壊滅的サイバー攻撃を紹介しています。

way companies now address cyber risk.

E-Bay, JP Morgan, Chase, Home Depot などでほぼ同時

In the wake of their data breach and a host of other high-profile

期に発生したデータの流出、機密情報の漏えいなどの情報セ

breaches at eBay, JP Morgan, Chase and Home Depot that

キュリティ侵害をキッカケに、各企業はこれまで以上にサイバーセ

happened around the same time, companies have grown more

キュリティーへの懸念が増加しました。

concerned about cybersecurity than ever before.

Identity Finder 社の IT 専門家に対する調査では、61％のIn that Identity Finder survey of IT professionals, 61 percent of

企業がサイバーセキュリティーへの予算を平均 34％増加したと答

companies increased their cybersecurity budget by an average

え、67％の企業は自社のシステムを情報セキュリティ侵害から守of 34 percent.

るために十分な予算を組み込んでいると答えました。

Sixty-seven percent made sure IT had the budget necessary to
defend it from breaches.

その他にも、情報セキュリティ侵害としてオペレーションシステムの変更や情報セキュリティ侵害によるその他影響などが報告され

Other findings included changes made to operations and otherimpacts the breach had on the company.

ました。

11

Keynote Speech 2016

企業は、このサイバーリスクの対策に取組んではいます。しかCompanies ARE adapting but the question is, “Are we making

し、問題は「企業はこれらのリスクに対する防止策の設置を適時

changes and implementing these preventative measures fastに実施できているか？」ということです。

enough?”

昨年、RIMS はサイバー調査報告書 2015を発行しました。こLast year, the Society published RIMS Cyber Survey 2015.

の報告書は、RIMS の米国のメンバーである様々な業界を代表

The survey features input from 284 of RIMS’ Professional

したリスク専門家 284 名からの回答で、それら専門家が所属す

Members in the United States. Majority of respondents

る組織は年収 10 億ドル（1200 億円）を超える企業です。

represent organizations with excess of $1 Billion US in revenue,
representing a wide-range of industries.

それらの回答者に、「あなたの組織は 2015 年度サイバーセ

When we asked this group “How much will your company

キュリティにどの程度予算を当てていますか？」という問いかけに、

spend to protect cybersecurity exposures in 2015?” 25 percent

25％が 100 万ドル以上（1 億円以上）と答えました。

planned to spend over $1 million dollars.

こちらの図表で、これらの企業が何に予算を使っているかが分

On the chart you can see where they planned to spend that

ります。情報セキュリティのモニタリング及び分析、そして検査シ

money. Active monitoring and analysis of information security

ステムがこのリストの上位を占めました。

AND scanning tools topped the list.

このような情報セキュリティ侵害による影響への注意や注目度

One would think that with all this attention and awarenessを考えると、一般的な企業は、情報セキュリティ侵害が発生しな

about the damage of a cyber breach, companies, in general,

いよう防止に力を注ぐべきだと考えると思います。

would be better prepared to prevent them from occurring.

しかし、こちらのような傾向を見ると、Thycotic Black Hat

But, then you see a statistic like this. “Thycotic Black Hat 2015

2015「ハッカー調査書」では、87％のハッカーは、「企業がサイ

Hacker Survey” says:

バーリスク対策への投資を増加させても、企業の重要機密デー

Eighty-seven percent of hackers indicated that it is just as

タに侵入するのは、以前よりも簡単とは言わないまでも、２年前とeasy, IF NOT EASIER, to compromise privileged account

同様程度に簡単なことだ」と指摘しています。

credentials as it was two years ago, despite increased corporatecybersecurity spending.

今日、全ての企業は、リスクの多くは現代社会ではデータがデジタル化されていることにあるという事を理解しています。

Today, every organization knows that many of its biggest risks
come from the digital world.

私達のサイバーリスクに対する考えは進化しています。以前は、There has been an evolution in the way we think about cyber「サイバーリスクは、もし発生したらではなく、いつ発生するかを

risk. We used to say “it’s not a question of IF you will experience

考える」と言われていましたが、私達はその考えを進展させましa breach, but WHEN.” We have evolved our thinking. The

た。現代の課題は、「いつ発生するか？」ではなく「発生した際にquestion now is not when it will happen, but when will we

いつ発見することができるか？」なのです。企業は、情報セキュリ

discover it has happened. Organizations recognize that the

ティ侵害は対応せずに保有するには大きすぎるリスクであること

potential to experience a breach is too great not to plan.

を十分理解しているのです。
先ほど、私達リスク専門家の役割が拡大していることを簡単に

12

I talked briefly before about how risk professionals’ roles are

説明しました。サイバーリスクは、典型的な例です。企業やそのexpanding…cyber risk is a great example.

組織のリスク専門家は、全てのリスクに対し事前に対応する必要

Organizations and their risk professionals must be proactiveがあります。しかし、統計で説明したとおり、サイバーリスクに関し

about all risks but as the statistics that I pointed out suggest,ては特に前々に準備、対応する必要があるのです。

especially cyber.

サイバーリスクへの対策が必要であることは必然です。もし、Having a cyber risk strategy is a necessity. You may be

皆さんが所属する組織に事業活動をモニタリングし、サーバーリ

fortunate enough to have an information security team who

スクが顕在化した際の計画を立てているセキュリティチームがあ

monitors your data and plan for events. In this structure, that

るとすれば、それは大変幸運なことです。その場合、そのチームteam would be the owners of data risk. Not all companies have2016 March基調講演

がデータリスクのリスクオーナーになります。しかし、全ての組織に

this structure and sometimes the risk professional will be

このようなチームがあるわけではありません。このような専門チー

responsible to lead the effort of identifying and managing the

ムが無い場合は、リスクの専門家がサイバーリスクを認識し、そrisk.

れを管理するための司令塔にならなければなりません。
皆さんが所属する組織がどのような組織体系であっても、リス

Whatever your organizational structure, as risk professionals,

ク専門家は組織の資産としてのデータや組織としてのサイバーリ

we need to understand the data assets and top cyber priorities

スクにおける優先順位を経営者、経営陣や保険のアンダーライ

in our companies and must be able to explain both assets andターに説明できなければなりません。

priorities to senior leadership and to insurance underwriters.

この知識無しに、組織を守るために必要な保険の購入や現場社員と防止対策を検討することはできません。

Without this knowledge, we won’t be able to purchase the rightcoverages to protect the organization or initiate conversations
with operations about preventative measures.

皆さんが日々クレジットカードを取り扱う小売店で働いてるかどう

Whether you are a retail business who routinely processes

かは一切関係ありません。どのような業界においても、知的財産

customers’ credit card information or not, your businessに関わるデータや社員の個人情報といった管理しなければならな

will process and possess sensitive data including intellectual

い重要な情報を処理、保存しているのです。

property and employees’ information – all of which must be
protected.

データを管理するということは非常に気が重い仕事です。そProtecting data is a daunting task mainly because how reliant

れは、現代社会では、私達はテクノロジーに頼りきっているからで

we all have become on technology. According to a 2012

す。2012 年の Financial Times に、「企業は一日に 2.5 エクサ

Financial Times article, at that time companies were generating

バイトまたは 10 億ギガバイトの情報を創出している」という記事が2.5 exabytes, or 1 billion gigabytes of data a day. That was more

掲載されていました。これは既に３年以上前の話です。今日ではthan three years ago – imagine what that number is today.

どのような数値になっているか、想像してみてください。

情報セキュリティ侵害の定義
企業は、情報セキュリティ侵害への対応を計画する必要があDEFINING DATA BREACH
Organizations know that they need to plan for a cyber breach.

ることは理解しています。なにから始めればよいのか？を見つける

Figuring out where to start might be an issue.

のが課題かもしれません。サイバーリスク戦略を開発する際の基One of the fundamental steps in developing a cyber risk

礎の１つは、全社員が「情報セキュリティ侵害」の意味、内容を

strategy would be to ensure that everyone understands exactly

十分理解するということです。

what a data breach is.

RIMS のエグゼクティブリポートである「サイバーワールドの

RIMS Executive Report “ERM Best Practices in the Cyber

ERM ベストプラクティス」では、情報セキュリティ侵害を「重要でWorld ” def ines data breach as an incident (or series of

保護された、または機密の情報が認可されていない個人またはincidents) in which sensitive, protected or conf idential

組織により閲覧、盗難される単独または継続的事象」と定義してinformation has potentially been viewed, stolen or used by an

います。

individual or entity unauthorized to do so.

例えば、私のプレゼンテーションの中では、サイバー攻撃の逆、For example, throughout this presentation I will use the phrase

つまりサイバー攻撃を受ける側の立場という意味で「情報セキュ

cyber breach as opposed to cyberattack. A breach is more

リティ侵害」という言葉を使います。情報セキュリティ侵害とは、よencompassing. During the initial meeting to set the cyber

り広い範囲を意味します。サイバー戦略を検討する場合、初期

strategy it’s important that we remind our organizations thatの段階で組織に対し、「情報セキュリティ侵害の全てがサイバー

not all cyber incidents are the result of an attack.

攻撃によるものではない」ということを明確にする必要があります。
Ponemon 研究所の報告書「情報セキュリティ侵害研究の費

The Ponemon Institute’s “2015 Cost of Data Breach Study:

用：グローバル分析 2015」では、情報セキュリティ侵害の根本的

Global Analysis” took a look at the root causes of data breaches.

13

Keynote Speech 2016

原因追求をしています。そして、その結果調査対象となった 11

And, for the 11 countries represented in the research only 47

カ国から、サイバーアタックによる問題の発生は全体の 47％に過percent of the breaches resulted from attacks. That 47 percent

ぎないと報告されています。情報セキュリティ侵害と分類された

fell into a category of cyber breaches that were either malicious

47％は、悪意的または犯罪的事象のどちらかでした。

or criminal.

その他の原因は、ほぼ同規模に２つの組織内部要因でした。
１つはヒューマンエラー、もう一つはシステム故障です。

The remaining were almost split equally into two internal
factors. The first was human error. The second was system
glitches.

その他の表現、例えば「重要な記録」や何を基準に「システムOther terminology – for example what is “a compromised

故障」と呼ぶかなどは、十分に検討し賛同、理解を得たうえで次record” or what constitutes a “system glitch” – should also beに進まなければなりません。

reviewed and agreed upon before moving forward.

データの評価・査定

DATA ASSESSMENT

組織が、サイバーリスク戦略の必要性を理解し、その言葉やOnce the organization agrees that a cyber risk strategy is

表現の理解を社内で統一した後、次のステップはデータの評価・

needed – and has agreed upon a common understanding of

査定プロセスを始めます。

vocabulary and terminology – the next step is to begin the dataassessment process.

包括的な評価と計画は、組織全体とそのデータを対象に全社

A comprehensive assessment a nd pla n shou ld ta ke an的な視点で行わなければなりません。特に各業務部門やシステ

enterprise-wide view of the organization and its data. Special

ム、社員それぞれがつながっているかを徹底的に調査します。

attention should be devoted to bridging the silos between
internal operations, systems and people.

このつながりを強化するために、サイバーリスクチームを設置

To achieve this, some organizations have formed a Cyber Risk

することにより経営者や各部門の管理者から情報や協力を得やTeam as a means of getting input and support from leadership

すくする体制を設置している企業もあります。

and business operations leaders.

サイバーリスクチームを編成する場合は、技術部門のリーダー

When forming a Cyber Risk Team, you should ensure the teamと法律のアドバイザーを含めることが重要です。さらに、組織のコ

includes technology leaders and legal advisors. But, managers

アとなる部門のマネジャー、コミュニケーショングループ、人事部なfrom key business operations, your communications group

どからのスタッフもメンバーに入れることも重要です。このような人

and human resources would also be important members of

材が社内で集められない場合は、組織外部の専門家を含める

this team. If these areas of expertise are not represented in the

必要があります。

skillsets of your internal team members, it may be necessary toengage outside resources.

14

サイバーリスクチームは、情報セキュリティ侵害対応の計画およThe members of your Cyber Risk Team will play an important

びその実行の重要な役割を担っています。しかし、データ評価のrole in setting and executing the breach response plan. But, in

初期段階では、組織における各データの特長に関する考えを提the preliminary phase of data assessment, they’ll be called on

供するために召集されます。

to provide their unique perspectives on the organization’s data.

このグループは、リスク担当者が組織の各部署がデータをどのThis group will allow risk professionals to gain a better

ように利用しているかをより理解し、データの機密性における優understanding of how their individual departments use data

先順位を決定する手助けをします。

and, also, help prioritize the sensitivity of data.

情報セキュリティ侵害発生前または発生時の対応にしても、こWhether it’s prior to a breach or in reaction to one, becauseのチームには各部署のリーダーが招集されているため、情報セ

leaders from various functional areas are included on this

キュリティ侵害に関する新しい戦略やその軽減対策規程に関す

team, new strategies or protocols to prevent or remediate a

る議論・決定を全社的レベルで実施することが容易になります。

breach can be easily communicated across the organization.

2016 March基調講演

このチームにはリスク担当者の参加が不可欠です。なぜなら、リThe make-up of the team will also require the risk professional

スク担当者は経営陣との連携役となりこのプロセスを実施するた

to align with leadership, ensuring resources are committed for

めの資源を確保することができるからです。

this process.

最終的には、このチームが情報セキュリティ侵害に対する戦略や軽減対策を設置、実施するための承認は、上級経営者が行

Ultimately, it is senior leadership who will approve thestrategies and remediation initiatives set forth by the team.

います。

データ（情報）の定義

DEFINING DATA

データの定義をすることが次のステップです。このステップの目

Defining the data would be the next step. The goal of this is

的は、データとは何か、どこに保管されているのか、誰がそのデー

to better understand what the data is; where it is kept, who has

タへのアクセス権があるのか、どこへ流れるのか、などをより理解

access to it and where it is going.

することです。
データは、以下の３つの形で存在します。

Data exists in three basic forms:

紙

●

●

電子

●

Electronic; and

●

人の記憶

●

Human Memory●

データには、サイクルもあります。データは、そのサイクルのどこにあるのかを知ることが重要です。
●●

Data also has a lifecycle. Knowing where it is in that lifecycle isimportant:

そのデータは、誰かから送られたのか？ または社内で作成さ●Is the data received from someone or is it created by us;

れたのか？

●

Is it currently being used, maintained or stored;

そのデータは、現在使用されているか？ 維持されているか？

●

W hen we’re f inished w it h it, w ill it be archived or

保管されているか？
●

Paper;

destroyed.

そのデータを使用した後、それはアーカイブされるのか？ 破
壊・破棄されるのか？

データがこのサイクルでどの段階にあるかにより、組織の取り扱

Where data is in its lifecycle will have an impact on how the

い方に大きな影響を与えます。危険なデータ、機密データはビジ

organization treats it. Like hazardous material, sensitive data

ネスを行う上で貴重であるかもしれませんが、それが危機の根源

may be essential to your business but it can be toxic. It must beとなる可能性もあります。それらのデータは、取扱いに十分注意

handled with care and properly disposed of when it’s no longer

するほか、必要なくなった時点で確実に破棄されなければなりま

needed.

せん。
データを定義し、重要度の順位付けをした後は、組織内におAfter initially defining and classifying the data, it can be very

ける入手から保管、移動といったデータの流れの図を簡単に描く

useful to simply draw the flow of the data as it enters, residesと非常に便利になります。

and moves through the organization.

これは、データのフローチャートのサンプルです。このチャート

This is an example of a data flow chart. And, while it’s not all-には全てが含まれているわけではありませんが、みなさんの組織

inclusive, it does provide you with some of the questions yourで、機密データに関する検討事項のいくつかは含まれているはorganization should be asking itself about sensitive data. For

ずです。例えば、

example:●何を機密データと考えるか？

●

What do we consider sensitive data?

●

誰が機密データを提供するか？

●

Who provides sensitive data?

どこに保管されているか？

●

Where is it stored?

誰がアクセス権限を持っているか？

●And, who has access to it?

●●

組織がデータを管理するためには、４つの簡単なルールがありThere are four simple rules that organizations should follow
15

Keynote Speech 2016

ます。

when it comes to managing data:１．
必要でないデータは収集しない。

1. If the organization does not need it, do not collect it.

２．
データの収集が必要な場合は、必要なデータのみ集める。

2. If data must be collected, collect only what is needed.

３．
データ収集が必要な場合は、管理し暗号化する。

3. If data is needed, control it and encrypt it.

４．
データが必要でなくなった場合は、すぐに安全に破棄する。

4. When data is no longer needed, get rid of it – SECURELY.

データのリスク評価は、いくつかの目的を達成するために行い

A data risk assessment is designed to accomplish several
objectives:

ます。
始めに、組織の脆弱性を露出させます。
「脆弱性」はこのプロ
セス開始時点で定義する必要がある言葉の１つです。

For starters, it will expose vulnerabilities in the organization.
“Vulnerability” could be another one those terms that isdefined during the onset this process.

次に、データ評価は、組織の内部、外部における脅威となるリ
スクを認識するのに有効です。

16

Second, a data assessment identifies threats to the organization.
That would include both internal and external factors.

３つめとして、組織内における管理状況の違いを記録するため

The t hird reason is to record control gaps w it hin t heです。アメリカでは、業界によっては法律によりサイバー戦略の１

organization. In the US, some industries are required by law to部を報告することが義務付けられています。

report pieces of their cyber strategy.

データのリスク評価は、ある一定のケースではマイナス効果がA data risk assessment can also have a negative effect in certain

発生する可能性があります。データリスク評価のレポートは、敵に

situations. Reports stemming from a data risk assessment

こちらの戦略を見せる結果となる競合他社への利点、または業

may provide a roadmap for an adversary, an advantage for

務怠慢の証拠を作成する結果となる場合があります。そのため、

a competitor or be produced as evidence of negligence. It’s

組織はこのレポートが外部へ知られたくない情報などが無いよう

important for organizations to seek to protect such reports

注意することが重要です。データリスク評価を始める段階で、外from unwanted discovery. Retaining outside counsel at the部の助言者を付けておくなどの対策が有効です。

start of a data risk assessment can certainly help.

情報セキュリティ侵害

DATA BREACH RESPONSE

対応

サイバーリスクチームを召集し、データの評価、順位付けを行

Now you have assembled a cyber risk team, identified andいました。機密情報がどのように管理されているか、データが組

classified your data. You’ve mapped out how sensitive data is

織内をどのように動くかを確認することができました。

managed and how it moves throughout the enterprise.

リスク担当者として次に実行すべきことは、戦略的且つ率先的

The next step requires the risk professional to be strategic andに情報セキュリティ侵害対応計画を設置することです。計画を設

to proactively develop a data breach response plan so that when

置することにより、組織で実際に情報セキュリティ侵害が発生した

the organization experiences a breach, we know exactly what

とき、私達は速やかに対応できるようになります。

our next move is.

情報セキュリティ侵害計画は、情報セキュリティに関する様々な

The data breach plan is a guideline and resource that can

事象が発生した事実や状況に応じ判断するガイドラインまたは源

adjust depending on the facts and circumstances surroundingとなります。しかし、その計画はあまり焦点を絞りすぎたものでは

a specific event. But it should be a repeatable plan that can be

なく、多くのケースで活用できるものでなければなりません。計画

applied to most incidents regardless of its specific characteristics.

は、柔軟性を持たせることが重要です。

Flexibility will be an important attribute of a plan.

多少の違いはありますが、情報セキュリティ侵害計画を立てていDespite the possible variances, organizations who fail to plan

ない組織はそのような事象が発生した際、最善の対応策ばかりでin advance often find themselves scrambling to identify the

なく、軽減対応や復旧作業をするための正しい資金を見出すこと

best response or the right resources to mitigate or recover fromができず、非常に苦しんでいます。そして、予算にない資金は使え

the event. Also, the funds for last minute, unplanned expenses

ない可能性もあります。このとき初めて経営者は情報セキュリティ

might not be available. The first time management starts

2016 March基調講演

侵害への対応は危機が発生した後では遅いことに気づくのです。

thinking about a response should not be in the midst of a crisis.

典型的な情報セキュリティ侵害計画と対応は以下のような流れ

A ty pical breach planning and response f low takes theです。

following steps:●

情報セキュリティ侵害の前計画●

Pre-Planning for Breach

●

計画の実施

●

Execution of Plan●

サイバーチームのブリーフィング●

Cyber Team Briefing●

調査と被害評価●

Investigation and Damage Assessment

●

改善と対策

●

Remediation and Resolution●

コンピュータ フォレンジック（専門調査）補助●

Computer Forensic Assistance●

マスコミ対応●Media Relations●

義務的な違反通知●

Mandatory Breach Notification●

業務と環境のモニタリング●

Monitor Activities and Environment

情報セキュリティ侵害が認識された場合、経営者は緊急事態

Once the breach is recognized, management must address theとしてその事象に対処しなければなりません。当然のように思わ

issue with a sense of urgency. While it may seem obvious, it isれますが、情報セキュリティ侵害対応計画とその優先順位を理解

important to understand and articulate breach response action

し、明確にすることが重要です。

priorities.

情報セキュリティ侵害が発生した場合、設置されたサイバーリ
スクチームは、以下の事を実行しなければなりません。

When a breach occurs, that Cyber Risk Team that you formed
earlier must:●

事象の処理、解決するために必要な資源を認識し、対応策を実施するための承認をできる限り早く取らなければならない。

the event and gain approval to launch a response effort as●

情報を早急に収集し、どの情報まで組織にはあるか、どのよう

soon as possible.

な情報を得なければならないかを決定しなければならない。
●●●

情報の漏えいまたは喪失箇所を発見し、停止しなければならない。

Identify the resources needed for addressing and resolving

It must gather information quickly and determine what theorganization knows and what it needs to find out.

●

It has to identify and stop the immediate source of the data●

情報の修復作業を実施しなければならない。

●

ダメージがあればすぐに抑制しなければならない。

●

It must attempt to recover the information.

●

法律、規制、契約で決められた処置を取らなければならない。

●

Contain the damage, if any.

●

被害を受けた個人または部門のサポートをしなければならな●

Do what is required by law, regulation or contract.

い。

●

Assist those individuals or entities impacted by the●leak/loss.

環境を修復し、データ喪失による影響に早期対応しなければならない。

situation.
●

And, remediate the environment and exposures that caused
or contributed to the data loss.

組織は、情報セキュリティ侵害対応は非常に被害が集約する

The organization needs to realize that a breach response may

可能性があることを理解し、その上限に関しては現実的に考えな

be a very resource intensive initiative and must be realistic

ければならない。また場合によっては、外部の資源を活用しなけ

about its limitations and, in some cases, concede to the fact that

ればならないという事実を理解しなければなりません。

it may require assistance from outside sources.

サイバー保険CYBER INSURANCE

情報セキュリティ侵害発生時に必要となる資源は、保険会社にExternal resources needed at the time of a breach are provided

より提供されています。サイバー保険は、事象が発生する前の盾

by cyber insurers.

であり、事象発生後の組織の危機的財務状況を救うものです。

Cyber insurance is a backstop that is secured prior to a breachand could be crucial to the organization’s financial needs postbreach.

多くの場合、特にサイバーポリシーでセールスポイントとして記

Most of the time, the selling-point of cyber policies in
17

Keynote Speech 2016

載させているのは、その会社の持つ外部専門家のネットワークでparticular are the external resources it funds. So, in cases of aす。そのため、情報セキュリティ侵害が発生した場合、サイバー保breach, if an organization has purchased cyber insurance, it

険を購入していれば、以下のような特典を受けることができます。

would possibly have access to:

情報セキュリティ侵害に関するアドバイザーの紹介を得る。

●

A cyber breach advisor●

情報セキュリティ侵害事象発生後の専門家紹介を得る。

●

A network of service providers that can assist post-breach●

そして、財務的安心が得られる。

●

And, maybe some financial relief.

●

しかし、サイバー保険は比較的新しい商品です。多くの場合、

But, I would mention that cyber insurance is a relatively

財務的補填はコールセンターやフォレンジックの費用に対してのみ

new product. Many times, the financial support can only be

適応できます。また、風評被害による影響、ビジネスの中断による

used for expenses like setting up a call center or forensics. It

被害に対しても活用することができます。

can, however, also address reputation damage and businessinterruption.

それではここで、RIMS Cyber Survey 2015 に戻ります。こIf we go back to RIMS Cyber Survey 2015, we can see that many

ちらを見ても分るとおり、リスクマネジャーや組織は、まだこのサイ

risk professionals and their organizations are still skeptical

バー保険に関しては、懐疑的です。回答者の 51％しか、単独の

about cyber insurance.

サイバー保険を購入していると答えていません。

Only 51% of the respondents purchase stand-alone cyber
insurance policies.

私達は、そのサイバー保険にどのような内容が含まれているか

We also took a look at what those insurance policies included.

も調査しました。ご覧の通り情報セキュリティ侵害の告知、データ

You can see that resources like Breach Notifications, Data

回復、ネットワークの中断などがカバーされています。

Recovery and Network Interruption were covered.

情報セキュリティ侵害の最も重大なリスクである機密情報の盗While the most significant losses of a cyber breach – Theft of

難、風評被害、専門的責任に関しては、リストの下のほうにおか

Trade Secrets, Reputation Harm and Professional Liability –れています。私は、サイバー保険が高額なこともありますが、これ

were at the bottom of the list.

ら重大リスクが含まれていないことが、多くのリスクマネジャーがこI think this, coupled with the high costs of purchasing a cyberの保険を購入していない理由であると思います。

policy, is the reason many organizations elect to forgo thecoverage.

また、情報セキュリティ侵害発生時の財務的影響の定量化はAlso, quantifying the financial impact of a breach is daunting

非常に困難であり、いくらの保険を購入するべきかがまだ不明瞭

and may leave risk professionals uncertain as to how much, ifであるとも考えられます。

any, insurance to purchase.

この情報セキュリティ侵害の影響における不明瞭さは、保険会

Those same uncertainties are evident from the insurer’s

社側でも同様であることが、填補範囲、保険料からわかります。

perspective in the coverage and pricing offered. In their

情報セキュリティ侵害発生が流行する中、多くの企業が情報セ

defense, despite the epidemic of cyber breaches, each event

キュリティ侵害対策を取っていますが、各事象の組織に与える影

impacts organizations differently. This makes calculating the

響度が異なります。このため、情報セキュリティ侵害による組織のpotential loss resulting from a breach nearly impossible.

損失を計算することはほぼ不可能な状態になっています。
しかし、日が経つごとに保険会社は提供内容を改訂し続けてBut, as each day passes, insurers continue to refine their

いるため、組織のニーズに合った保険商品が開発されつつあり

offerings and are developing better products that meetます。

organizations’ needs.

RIMS の調査に答えてくださったリスクマネジャーは、１、２年のIf you look at this chart, when we asked respondents if their

間にサイバー保険を購入する検討をするかという問いかけに、74

organization would consider purchasing cyber coverage withinパーセントが「はい」と答えました。

the next 12-24 months…74 percent said YES.

さまざまな新しいリスクと同様に、そのリスクの内容を十分理解

182016 March

Like with any new risk, it takes time for us to fully understand基調講演

するには時間がかかります。それを定量化できるようになるには、

it and even longer to quantify it.

更なる時間が必要です。

ストレステスト（耐久性テスト）
一般的言語の定義、データの評価、情報セキュリティ侵害対STRESS TESTING
Once you have established a common vocabulary completed

応計画を開発した後、事象の発生を仮定しその対応計画の効

your Data Assessment and developed your Data Breach response

果を検証する必要があります。このプロセスで露呈した問題点な

plan – you should test the response plan in a hypothetical event

どを考慮し、対応計画を向上させます。

to determine its effectiveness. Any lessons learned during thisprocess should be applied to improve your plan.

その他、プロセスで再確認が必要な事項は以下の通りです。
●

事象発生時における各個人の役割と権限の明瞭化

Some of the processes that you also want to review include:●

Cla r it y a nd aut hor it y of roles i nd iv idua ls w i l l be

─ 全員がそれぞれの責任を理解しているか？

responsible for during an event;─ 全員が情報のエスカレーションプロセスを理解している─ Does everyone know what they’re responsible for?

か？ 例えば、各自の役割が完了した際、誰にその内容を

─ Does everyone understand escalation processes? In

報告するか？また逆に誰が各自に情報を伝達するか？

other words, once their task is complete, who do they

─ 事象が発生した際、サイバー戦略において各担当者がreport findings to and, conversely, who should be

責任範囲における行動をする際、その権限は与えられてdelivering information to them.
─ Do the individuals responsible for an action in the cyber

いるか？ 権限の範囲や承認を得るためのプロセスに時間がかかる場合、対応を遅らせてしまう場合がある。

strategy have the authority to execute when the timecomes? Limitations or a time consuming approval process
set by senior leadership could delay the response time.

情報セキュリティ侵害対応策をテストする際、サイバー保険を

Just as you would test your breach response plan, if you

購入するのであれば、契約内容の表現も適合しているかを確認

purchase a cyber insurance product, I suggest stress testing theすることを強くお勧めします。この作業が、リスクマネジャーの必contractual terms as well. This can prove to be an integral part

須業務です。この作業により、保険の填補内容が目的どおりかof risk management’s responsibilities. It will help to evaluate

否か、損失が発生した際組織を守るのに十分な内容かを評価

whether the insurance coverage will perform the way it isするのに有効です。私は、この作業を皆さんの組織のサイバー

intended to perform, and adequately protect the organization

戦略の一部として検討することをお勧めします。

in the case of a loss. I recommend you consider this as part ofyour organization’s cyber strategy.

その他、事象発生後に関する検討事項

OTHER POST BREACH CONSIDERATIONS

どのような準備、対策を講じても、情報セキュリティ侵害事象発Sometimes all the preparation in the world will not be enough生を阻止することはできないことはしばしばあります。組織で情報

to prevent a data breach. Once an organization experiences

セキュリティ侵害が発生した場合、保険金請求を複数の保険会

a breach, you may need to initiate a claim with one or more社にしなければならない場合もあります。

insurers.

この場合、損失の定量化、書面提出はこのプロセスで最重要

Documenting and quantifying losses will be critical to this

項目となります。このプロセスの一部として、リスクマネジャーは以process. As part of this process, risk professionals should

下の事象を検討する必要があります。

consider the following items:●

全ての保険契約内容を再確認する：サイバー、財産、賠償●保険は全て再確認し、全ての手続きに準じて請求する。この●Review all insurance policies: cyber, property, liability,
should all be reviewed and compliant with notification

プロセスにおいて、契約内容に適合していることを確実にす

provisions for all. You may want to engage coverage

るために填補カウンセルの協力を仰ぐことも可能。

counsel in t his process to ensure you are meeting

タイムリーに告知を発信すると共にコミュニケーションの継続
を確実に行うcontractual terms and conditions.
●

Ensure that you’re providing timely notification and19

Keynote Speech 2016●

事象を時系列にまとめる。情報セキュリティ侵害事象が発生した時点までさかのぼることにより根本的な原因を見つけるこ●

ongoing communication.
●とができる可能性がある。

when the breach actually occurred might help find the root

情報セキュリティ侵害の終息を確認する。機密情報へのアク

cause.

セスが許可されるべきでない社員が完全にアクセスできない●システムが設置されたかを確認する。
●

longer accessible to those who shouldn’t have it?
●

Work with your finance partners to identify account

経費管理コードを作成、または影響を受けた部署において

numbers or charge codes specifically created to record costs

特定の管理コードを作成し、この事象で受けた費用を記録

related to the event or specific to the business areas affected

する。保険金請求する際、発生した損失を分類ごとにまとめ

by the breach. Cataloging expenses is unquestionably

ることは、言うまでもなく非常に重要である。
情報セキュリティ侵害事象による財務的損失を説明するため

important when submitting insurance claims.
●

Secure documentation that will help explain the financialの書類を確保する。例えば、事象が発生する前の営業予算

loss of the breach. For example, sales budgets or forecast

や見通しに関する書類。そして、逆に事象発生の結果としてthat were created before the breach. And, conversely,

使用されなかった経費予算も認識する。
●

Confirm the breach has ended. Has the organization taken
the measures it needs to ensure that sensitive data is no

財務担当者に協力を依頼し、被害を計上するアカウント番号、
または情報セキュリティ侵害事象の記録をするための特定の●Create a timeline of events. Going back and pinpointing

最後に、風評、ブランド価値、今後の戦略への影響に関し、

identify the costs that were put on hold as a result.
●

Fina lly, brainstorm and facilitate discussions with

経営陣と共にブレインストーミングを行うための会議を実施す

leadership about the impact it will have on reputation, theる。

brand or future strategy.

これらのステップは、損失を定量化するために必須な作業でThese steps will be crucial to quantifying losses and will

す。このような作業により保険契約による組織の財務的回復を促

expedite the process of recovering finances from insurance

進することができます。

policies.

最後にCONCLUSION

最後に、データを管理するということを複雑で困難にしている
要因はたくさんあります。
●

組織は、過去や他の経験から単純に被害想定をすることが●ほぼ全ての情報セキュリティ侵害事象は独特であり、組織のIn conclusion, there are so many factors that contribute to thecomplexity and the challenges of managing data.
●

Organizations can’t confidently make assumptions from●

Almost all data breaches are unique and are accompanied

できない。

past or other experiences.

サイバーセキュリティのレベルで常に新しい問題が発生する。
●

by a new set of questions surrounding the strength of the

そして、実際に発生するかわからないリスクに対し、予算を取
るまたは資金を確保することは、経営者の理解を得るのが困

organization’s cybersecurity.
●

And, securing funding or resources for a potential risk, a

難なこともあります。しかし、資金を確保していなければ、リス

risk that might not ever happen, can also be a challenge.

クマネジャーが努力して設置した計画に制限がかかったり上

But without that funding, there could be restrictions or限ができてしまいます。

limits to your planning efforts.

世界各国の経営陣は、現代社会はテクノロジーで埋め尽くされ

Board Directors around the world recognize that technology isていることやデータは組織の最も重要な資産であることを理解しeverywhere and data is one of their most important assets. Asています。そのため、情報セキュリティ侵害発生頻度は、サイバー

such, the frequency of cyber breaches have put cybersecurity at

セキュリティを取締役会議の議題の上位に位置づけています。

the top of their agenda.

ここまでお話したように、組織がこのリスクへの対応準備を確As we’ve discussed, there are some steps and processes a risk

実にするために、リスクマネジャーが率先してできるステップやプ

professional can initiate to ensure their organization is ready.

ロセスがあります。

20●

情報セキュリティ侵害リスクに関する用語の定義。

●

Defining common terms●

ERM の手法を活用し、全てのオペレーション部門を参加さ●

Utilizing an Enterprise Risk Management approach to get2016 March基調講演

せ、サイバー戦略に貢献していただく。
●

all business operations involved and contributing to your

評価のプロセスとして機密データの認識、理解、分類、マッピングを実施する。

●

計画を実施テストし、役割が認識され、全員が各自の責任を●簡単に適用できる情報セキュリティ侵害対応計画を開発す●付保する。情報セキュリティ侵害が発生した場合でも普及、理解していることを確実にする。
る。
回復できるだけの資源を得られることを確実にするプロセス、

cyber strategy.
●

sensitive data as part of your assessment process.
●Testing your plan to make sure roles are identified andeveryone knows their responsibilities.

●

Developing a general data breach response that is easily
adaptable.

●

そして
●

Identifying, understanding, categorizing and mapping

Insuring your organization. A process that will confirm
that you have the resources you need to remediate and

事象発生後の具体的な実行計画を持つ。

recover; and●Then, having concrete action items post-breach.

早急に情報セキュリティ侵害対応計画を新たに立てるというこ

Initiating a data breach response plan as soon as possibleとは、通常企業の最優先関心事項です。この計画は、組織が情is always in the company’s best interest. It shows both

報セキュリティ侵害の重大さを理解していること、そして事象回復

stakeholders and regulators that the organization understandsに迅速に取組むことをステークホルダーや監督官庁に示すことがthe severity of the cyber breach and is quickly moving toできるからです。

remedy the situation.

リスク担当者には以下の事項全てが必須です。
リスクマネジャーは、経営者の役割を受け入れ、組織のプライ●

Risk professionals are integral to all of this:●

バシーや情報セキュリティグループなど各方面の専門家と良p a r t ne r s h ip s w it h s u bje c t m at t e r e x p er t s i n t he

いパートナーシップを作らなければならない。
リスクマネジャーは、計画をステークホルダーに明確に説明す●

organization’s privacy and information security groups.
●

We need to hone our analytical skills and, at the same time,

るために、分析力を磨くと同時に十分な技術的知識も持たな

have enough technical understanding to articulate the plan

ければならない。

to stakeholders.

リスクマネジャーは、影響力、教育力、説得力を高め、サイ●●バー戦略を実施する良い社内環境を整えることに関し、経そして、最も重要な点は、リスクマネジャーはただの伝達係でWe need to have the ability to influence, educate, persuadeand convince management to establish an environment

営陣を納得させなければならない。
●

We need to embr ace a leadersh ip role a nd createthat supports the data breach strategy.
●

And most importantly, risk professionals must be moreはないということ。私達は、組織を成功に導く解決策やアイデ

than messengers. We need to be prepared to of fer

アを提供する準備をすることが重要である。

solutions and our ideas that contribute to the success of theorganization.

本日は、こちらで講演をする機会をいただき、誠にありがとうご

I want to thank you again for allowing me to speak with you. It

ざいました。RIMS の理事会そして日本支部の代表として今年

truly is an honor to represent RIMS Board of Directors and this度の理事長を務めることを光栄に思います。

Society here in Japan.

ありがとうございました。

Thank you.

21