CVEのスライドが機能しない理由
取締役会で最もよく見るサイバーのスライドは、スーツを着せた技術資料です。大きな脆弱性の件数、パッチ適用率、色分けされた格子、そして件数の前期比。厳密そうに見えます。しかし何も統治しません。取締役は「重大4,200件、6%減」を、それを減らす統制の費用と天秤にかけられず、全社のリスク選好に位置づけられず、事業が実質的に安全になったのかどうかも判断できません。
これは翻訳の失敗です。取締役会の仕事は、全社にわたって資本を配分し、リスクの許容度を定めることです。CVEの件数は、議題に上る他のどのリスクも使っていない単位で表されています。サイバーリスクが信用・市場・オペレーショナルリスクと同じ言葉、すなわち確率と金額で表されるまで、それらと並べて統治することはできません。
取締役会が実際に抱く四つの問い
雑音を取り除けば、取締役会がサイバー報告に求めるものは四つです。承認したリスク選好を超えて露出しているか、具体的にどこか。傾向は良くなっているのか悪くなっているのか、その要因は何か。重要なサイバーリスクのうち、想定損失が最も大きいのはどれか（最も効果の大きい対策から資金を投じるため）。そして、今日われわれに何を決めてほしいのか。
良い報告のあらゆる要素は、この四つのいずれかに結び付いているはずです。ある図表がどれにも答える助けにならないなら、その居場所は付録かSOCのダッシュボードであって、取締役会のスライドではありません。
すべての検出結果ではなく、少数のシナリオを定量化する
取締役会向け報告の背骨は、範囲を適切に絞ったリスクシナリオの小さなライブラリです。「ランサムウェアが受注処理を停止させる」「顧客データストアの侵害」「重要な取引先の障害」といったシナリオを、それぞれ金額で定量化します。FAIR（Factor Analysis of Information Risk）のような手法は、各シナリオを損失事象の頻度と損失の規模に分解し、見かけだけ精密な単一値ではなく較正された範囲を用い、信頼区間を伴う年間予想損失を導きます。
この形にすれば、サイバーリスクは互いに比較でき、それを減らす統制の費用とも比較できます。取締役会は、提案された2億円の投資がそれ以上の予想損失を取り除くのか、そして次の1円のセキュリティ支出がどこで最も効くのかを判断できます。金額で示された説得力のある5つのシナリオは、表に並んだ5,000件の検出結果に常に勝ります。
件数ではなく到達可能性でエクスポージャーを優先順位付けする
技術的な詳細に居場所があるとすれば、それは事業影響の枠組みの中です。脆弱性の生の件数ではなく、その弱点が到達可能かどうか、すなわち攻撃者がインターネットに面した侵入口から最重要資産まで実際にたどり着けるかどうか、そして実際に悪用されているかどうかで優先順位を付けたエクスポージャーを示します。CISAの既知の悪用された脆弱性カタログやEPSSといったシグナルを使います。
重要資産上にある、悪用可能で到達可能なわずかなエクスポージャーのほうが、テスト機上の理論的な欠陥と顧客データベースへの実在の経路を同列に扱う5桁の合計値よりも、はるかに誠実なリスクの姿を示します。到達可能性は、恐ろしい数字を正確な数字に変えます。
すべての数字を追跡可能にし、そして決定を求める
取締役会は主要な数値を問いただしますし、そうすべきです。報告はそれに耐えなければなりません。スライド上のあらゆる数字は、その裏づけとなる証跡、すなわちシナリオ、エクスポージャー、統制の状態まで遡れる必要があります。そうすれば鋭い質問に、肩をすくめるのではなく詳細で答えられます。この追跡可能性は、報告を監査に耐えるものにし、事後にも説明できるものにします。
最後に、依頼で締めくくります。取締役会向けの報告は状況共有ではなく、統治の要請です。決定事項を明示しましょう。この投資を承認する、修正が入るまでこの例外を正式に受け入れる、リスク選好のこの部分を見直す。エクスポージャーから損失へ、傾向へ、そして決定へと筋が通っていれば、取締役会は役割を果たせます。そしてCISOは、うなずきではなく答えを持ち帰れます。