世界中で大規模なサイバー攻撃が猛威を振るう中で、多くの企業がデジタル・サイバーリスクに対する危機意識を高めています。ニュートン・コンサルティングでは2016年から、セキュリティ分野のコンサルティングサービスにも特に注力し、お客様と共に走り続けてきました。ますます予測困難な状況を極めるこれからの時代に、企業はどのような対応をすべきなのか、当社専務執行役員/CISO 兼 プリンシパルコンサルタントの内海良が解説します。また、サイバー・デジタル分野において当社がお客様に伴走する意義やこれまでの道のり、展望などについても語ります。
専務執行役員/CISO 兼 プリンシパルコンサルタント
内海 良
常に第一線で各種コンサルティング支援を責任者としてこなし、その支援数は500組織を超える。サイバーセキュリティ以外にも、デジタルリスクやBCPも専門とし、各分野で国内随一の実績を誇る。経営とサイバーセキュリティ、デジタル先端技術とBCPを同時に全体最適で語れる稀有なコンサルタントであり、お客様の本質を理解し、ゴールまで邁進するスタイルは多くのお客様から評価されている。
2016年、社会とニュートンに起きた転換点
当社がデジタル・サイバーセキュリティのコンサルティングサービスを本格的に提供し始めたのは2016年、設立10周年のタイミングでした。振り返ると、そこには二つの必然的な背景があったように思います。
当時、ニュートン・コンサルティングは大きな転換点を迎えていました。2006年の設立以来、主にBCP/BCM、ERMの分野を中心としたコンサルティングサービスを展開してきましたが、2015年頃に売上の多くを占めていた案件が相次いで終了しました。お客様の役に立つ、新たな事業の柱を模索していたのです。
官公庁や金融などの業界に特化したコンサルティング分野など、経営陣でさまざまな可能性を模索するなか、「当社のグループ会社である英国法人Newton ITでも手掛けてきたIT/デジタル領域を内海に任せよう」という方針が決まりました。
ただ、IT/デジタル領域といっても幅広く、どこに注力すべきか思案していました。ちょうどその頃、日本では大企業におけるサイバー攻撃被害が相次ぎ、社員の情報持ち出し事件なども話題に。サイバーセキュリティが企業にとって無視できない重要課題として注目されるようになり、各社の危機意識も急速に高まっていました。このような動向を踏まえて、「デジタル・サイバーセキュリティのコンサルティングサービスを打ち出していこう」と決めました。
初年度から一挙に10種類近くのコンサルティングサービスをリリースし、お客様のご支援に奔走してきました。現在、デジタル・サイバーセキュリティ、IT-BCPなどのサービスは当社の事業全体の中でも重要な柱となっています。
どんなにAIが進歩しても、最後に求められるのは人間の決断力
これから企業が直面するデジタル・サイバーリスクは、さらに複雑に、予測不可能になっていくでしょう。特に私が注目しているのは次の二つの潮流です。
一つは「IT世界の分断」です。サイバー攻撃の高度化や、米中対立に代表されるような地政学的な緊張の高まりを受け、それぞれの国・地域が独自の建付けで厳格な法規制を敷いています。日本企業としては、どの国のどの法令・規制にどこまで対応すればよいのか、判断が一層難しくなっています。今後の対応策としては、各国が次々と発出する情報をいち早くキャッチして共通点を洗い出し、「最大公約数」の部分にアプローチするしかありません。日本政府も、各国・地域との相互承認や整合を進め、「一定のガイドラインを満たせば、他国の規制要件にも対応したと見なされる」ような柔軟な仕組みを整備することが期待されます。
もう一つは「AIとの共生」です。例えば、サイバー攻撃の攻撃者側がAIを駆使し、人間のスピードを超えた攻撃を仕掛けてくる以上、守る側もAIによる自律的な防御が必要不可欠になってきます。また、サイバーセキュリティという文脈に限らず、普段の業務全般においても、AIは単なるツールではなく、一つひとつの作業の効率化に欠かせない伴走者となると考えています。
そのため、AIが暴走しないよう、会社としての倫理・ポリシーを定めることも必須です。分かりやすい例を挙げるなら、「爆弾の製造方法を教えてください」と聞いたときに、本当にAIが武器の開発をアシストしてしまうようでは大問題になりますよね。倫理に反することをAIに求めないよう、社内教育を実施する必要がありますし、AIシステムが不適切な内容に応えないようにガードレールを設けることも重要です。「自社において、AIにこの一線だけは越えさせないようにする」という基準を常に考えながら、規程を更新し続けなければなりません。
忘れてはならないのは、AIの技術がどれだけ進化したとしても、最終的に企業としての意思決定を下し、責任を負うのは経営者であるということです。地政学情勢やAI技術を取り巻く環境が目まぐるしく変わる中で、企業はPDCAサイクルを超えて、観察（Observe）・状況判断（Orient）・意思決定（Decide）・行動（Act）の4ステップを高速で繰り返す「OODA（ウーダ）ループ」を徹底する必要があります。
経営とIT技術。両方を熟知するニュートンができること
ここまでお話したように、企業は今後、より複雑で変化の激しいサイバー・デジタルリスクに、素早く的確に対処しなければなりません。外部の専門家の支援を受けて、自社のセキュリティ体制を強化したいと思ったとき、コンサルティング会社、ITベンダー、セキュリティ会社など様々な選択肢があると思います。そこでぜひ立ち返っていただきたいのは、「自社は何のためにセキュリティ対策を講じるのか」という問いです。
製品の生産を止めないこと、社会的信頼を維持し続けること…といったように、各社は「ありたい姿」を持っているはずです。サイバー攻撃などを受けた結果、事業が長期間停止したり、対応を誤って世間からの信用を失ったりすると、その理想が実現できなくなる。つまり、サイバー・デジタルリスクは単なるIT課題ではなく、経営課題そのものなのです。
当社のコンサルティングでは経営課題の解決を重視しており、トップインタビューを行い、経営者がどのような会社にしていきたいのかを丁寧に洗い出すところから始めます。また、サイバー・デジタル分野の専門知識と経営・ビジネスの知見をもとに、現場を巻き込んだリアルな演習・訓練を実施し、組織全体に実効性のある体制を浸透させるところまでお手伝いしています。このように、IT技術と経営知識に長けていることが、当社の強みだと考えています。
また、これまではサイバー攻撃を完全に防御することを目指す風潮がありましたが、攻撃手法が高度化・複雑化する昨今、もはやサイバーインシデントを完璧に防ぐことは不可能です。現在は、サイバーインシデントをいかに早く検知し、いかに迅速に事業を復旧させるかというレジリエンス能力を鍛えることが求められるようになりました。この考え方は「想定外の事態は必ず起こるもの。その時に迅速に事業を立ち直らせることが大切」という、当社が設立当初からお客様にお伝えしてきたことと一致しています。どうすれば実効性のある危機対応が身に付けられるのか、20年の支援実績をもとにお客様にご提案できるのも、当社ならではの特徴です。
私たちは今後も、「お客様の役に立つ」コンサルティングをお届けしていきます。これだけ目まぐるしく世の中が変わる中で、時流に沿った新規サービスを立ち上げることも時には必要ですが、流行りのテーマで単発のコンサルティングをご提供するだけでは、お客様の根本的な課題解決にはつながりません。そのため、当社は流行に振り回されることなく、普遍的な価値を持つサービスをさらに深化させます。なかでもAI・セキュリティガバナンスやサイバー攻撃対応BCPをグローバル拠点にも根付かせるための伴走や、TLPTなどのセキュリティ診断のご支援などは、今後さらに強化したい分野です。「デジタル・サイバーセキュリティといえばニュートン」とより多くの企業に評価いただけるよう、確かな価値を提供できるサービスを確立していきます。
