経営者が求めるCISOのアクションとは

不確実性の時代に求められる「ワイズリーダー」の実践知

林：
サイバーリスクが経営課題となる中、CISOにも従来とは異なる役割が求められるようになっています。実際、多くのCISOの方々と対話する中で、「セキュリティ投資の必要性を経営層に納得してもらうにはどうすればよいか」「平時から経営層と危機意識を共有するには何をすべきか」といった声を数多く伺います。

増谷さんは、サイバーセキュリティやデジタルトランスフォーメーション（DX）の実務に加え、現在は経営幹部育成にも携わっています。まず、これまでのご経歴と、現在の活動内容を教えてください。

増谷：
私は野村総合研究所で1995年に社内ベンチャーとしてサイバーセキュリティ事業を立ち上げ、2000年に分社化、その後2006年から約10年間、その会社の経営に携わってきました。その後はDX領域を担当し、現在は野村マネジメント・スクールの学長を務めています。

野村マネジメント・スクールでは、上場企業の経営幹部を対象に、実践的な経営者育成プログラムを提供しています。現在はVUCA^※1時代と言われるように、変化が激しく将来予測が困難な社会環境です。その中で経営者に求められるのは、知識そのものではなく、状況に応じて判断し、人と組織を動かす「実践知」です。私たちは、異業種の経営幹部同士の対話やケース討議を通じて、そうした力を養うプログラムを展開しています。

林：
リーダーに求められる「実践知」とは、具体的にどのような能力でしょうか。

増谷：
近年、注目されているのが「ワイズリーダー（Wise Leader／賢慮のリーダー）」^※2という考え方です。実践知は単に知識を蓄えることではありません。現場で判断し、多様な人との対話を通じて本質を見極め、それを言語化し、最後までやり抜く力です。さらに、自分だけで完結するのではなく、組織全体に浸透させていくことも重要です。これからの時代には、そうした実践知を備えたリーダーが求められているのだと思います。

^{※1 VUCA：Volatility（変動性）Uncertainty（不確実性）Complexity（複雑性）Ambiguity（曖昧性）の頭文字をとった造語。社会・経済・技術環境の変化が激しく、従来の延長線上では将来を予測しにくい状況を指す。
※2 経営学者の野中郁次郎氏らが提唱したリーダー論。単なる知識や合理性ではなく「何が善か」を判断し、実践知を通じて組織や社会を導くリーダー像を指す。}

CISOに求められるのは「善の判断」と「対話の力」

林：
ワイズリーダーの素養を全て備えるのは難しそうです。ここからはCISOに焦点を絞ってお伺いしたいのですが、ワイズリーダーに求められる素養の中でも特にCISOに求められるのはどのような素養でしょうか。

増谷：
これからのCISOは経営の一翼を担う存在として、単にセキュリティ対策を実行するだけではなく、「何を優先し、どこまでリスクを許容するのか」を判断していく役割が求められます。その意味で、私は特に2つの力が重要になると考えています。

1つ目は「何が善かを判断する力」です。短期利益と中長期投資、利便性と安全性、攻めと守りなど、経営の現場には単純な正解がないテーマが数多くあります。その中で自社や社会にとって何が望ましいのかを見極め、意思決定していく力です。

そうした判断のよりどころとなるのが、パーパス（目的）と価値観です。CISO自身がこれを明確に持ち、揺るぎない判断軸として内面化しておくことが、不確実なテーマに向き合う出発点になります。

2つ目は「場を創出する力」です。これは、相互交流を通じて新たな意味を構築できるよう、さまざまな場を絶えず生み出していく能力です。CISOの文脈で言えば、サイバーリスクへの向き合い方や、何を優先して守るのかといった認識を経営層と共有していくには、公式な会議だけでは不十分です。日頃からさまざまな場で意識的に対話を重ね、会議では出にくい本音や懸念も含めて共有していくことが重要です。正論を示すだけでは、人も組織も動きません。関係者が納得し、腹落ちしながら意思決定できる状態をつくっていくことが欠かせないのです。

サイバーセキュリティの問題は、技術的に複雑なうえ、インシデントが発生すれば事業継続や企業価値にも大きな影響を及ぼします。一方で、経営者にとっては「本来起きてほしくない事態」を前提に考えなければならないテーマでもあります。だからこそCISOには単に「判断してください」という姿勢ではなく、「こうした事態にどう備えるべきか」を経営と一緒に考えていく姿勢が重要です。結論を仰ぐ前に、その前提となる認識や価値観を経営と日頃から共有しておく。それが、これからのCISOに求められる姿勢だと思います。

サイバーリスクは「ITの問題」から「経営アジェンダ」へ

林：
CISOが経営と対話していくためには、経営トップが何に関心を持ち、どのような視点で意思決定しているのかを日頃から理解しておく必要がありますね。

次に経営トップの視点についてお伺いします。日々多くの経営トップと接している増谷さんから見て、いま経営者は何に注目しているのでしょうか。

増谷：
現在、多くの経営者が注目しているテーマは、大きく3つあると考えています。

1つ目は「成長戦略」です。マクロ経済の不確実性や競争環境の変化を踏まえ、どのような戦略を描くか。これは以前から変わらない経営テーマです。

2つ目は「テクノロジーと地政学リスク」です。米中対立や経済安全保障といった地政学リスクに加え、AIやDX、サイバーセキュリティ、サプライチェーンを含むレジリエンスなど、近年はテクノロジーとリスクが経営そのものに直結するテーマが急速に存在感を増しています。

特に重要なのは、これらが相互に結びついている点です。地政学的な緊張がサプライチェーンを揺るがし、AIの普及が新たな攻撃を生み、サイバー攻撃が事業継続を脅かすといったように、一つの判断が複数のリスクに波及する構造になっています。

3つ目は「資本市場からの圧力」です。ROIC^※3や資本効率への要求、アクティビズムへの対応など、市場との対話が経営の重要テーマになっています。短期的な収益性だけでなく、中長期の成長投資やリスク対応をどのように説明していくかも問われています。こうした多様な要請を踏まえながら、全体最適の経営判断を下していくことが、今の経営トップに求められています。

林：
ありがとうございます。3つの中でも近年、特に存在感を増しているのがサイバーリスクです。ここでPwCが実施した調査結果を紹介させてください。

2025年に実施した「第29回 世界CEO意識調査」^※4では、「今後12カ月で企業経営に最も大きな影響を与えるリスク」として、サイバーリスクが初めてトップに挙げられました。サイバーリスクへの懸念は前年の24％から31％へ上昇しており、経営トップの危機意識が急速に高まっていることがうかがえます。

図表1：経営者は、今後1年間でマクロ経済の変動、サイバーリスクに起因する脅威が強まると予想、昨年と比較し、サイバーリスクに対する懸念が顕著​

特に日本企業の危機意識は高く、地政学リスクへの対応策として「全社的なサイバーセキュリティ強化」を挙げた日本の経営者は69％に達し、世界平均を22ポイント上回っています。

背景には、サイバーインシデントが単なるIT障害ではなく、事業停止や信用失墜など、企業経営そのものに直結する問題へ変化していることがあります。実際、ランサムウェアやサプライチェーン経由の攻撃によって、企業活動が大きな影響を受ける事例も相次いでいます。経営トップの間では、「サイバーセキュリティはIT部門だけの問題ではなく、経営課題である」という認識が急速に広がっていると感じています。

^{※3 ROIC（Return on Invested Capital：投下資本利益率）。事業に投じた資本に対して、どれだけ効率的に利益を生み出したかを示す経営指標。
※4 世界CEO意識調査……世界95カ国・地域のCEO4,454名（うち日本139名）を対象に、世界経済の動向や経営上のリスク、その対策などについて調査。第29回調査は2025年9月～11月に実施。}