サイバーインシデント時に問われるCISOの「実行力」と経営の「説明責任」

「分かっている範囲を迅速に公開する」――トップ・CISO・広報による三者体制

林：
最初に企業におけるサイバーインシデント時の初動対応について伺います。

直近一年を振り返ると、ランサムウェア攻撃による業務停止、サプライチェーンへの波及、顧客情報の漏えいなど、サイバーインシデントが急増しています。こうした事案を巡る報道のあり方について、平井さんはどのようにご覧になっていますか。

平井：
私は報道のあり方よりも、その前段にある企業側の情報開示のあり方に着目しています。さまざまなインシデントが起きた際に強く感じるのは、被害を受けた企業から「今、何が起きているのか」という公式な発表が出てくるタイミングが遅すぎるという点です。

私が提案しているのは、何か起きた時にはできるだけ早い段階で会社のトップとCISO、必要に応じて広報や事業責任者が前面に立ち、現時点で把握している事実を説明することです。

サイバーインシデントの初期段階では、全ての事実が揃っていることはほとんどありません。しかし、攻撃の経路、被害の範囲、流出した情報の中身など、これらを完全に把握してから発表しようとすれば、初動の情報開示は必ず遅れます。

ステークホルダーや顧客、社員が知りたいのは「完璧な情報」ではありません。「会社として何が起きていると認識し、どう対応しているのか」です。だからこそ、「現時点で分かっていること」と「まだ分かっていないこと」を明確に切り分けた上で、まずは分かっている範囲を迅速に示す。そして、追加情報は後日改めて報告する。この姿勢が重要です。

場合によっては、記者会見という形でトップ自らが説明することも有効です。「誰が」「どの立場で」「何を語るのか」を明確にすることが、「企業としてこの事案にどのように向き合っているか」を示す重要なメッセージになります。

林：
とはいえ、経営者からは「全容が分からないうちに発表すると、かえって混乱を招くのではないか」という懸念も聞かれます。この点についてどのようにお考えでしょうか。

平井：
その懸念は理解できますが、発表を先送りにすべきではありません。むしろ重要なのは、情報開示を一度きりのイベントとして捉えるのではなく、継続的なプロセスとして設計することです。

具体的には初回の説明で、現時点で把握している事実を伝えると同時に、「次はいつ、どの情報を更新するのか」というフォローアップのタイミングまでを明確にするのです。そうすればステークホルダーは「この企業は段階的に説明を続けてくれる」と認識でき、不確かな情報を一度に出すことによる混乱は避けられます。

逆にこうした対応を怠ると、情報が出ない空白の時間に、メディアやSNSでさまざまな憶測や解釈が広がります。そして「何が起きたのか」というナラティブ（物語）が、企業の手を離れたところで形成されてしまう。一度できあがった認識を後から修正するのは極めて難しく、企業は情報発信の主導権を失いかねません。

林：
企業が情報発信の主導権を失わないために、経営層はどのような姿勢で臨むべきでしょうか。

平井：
重要なのは、「誰が責任を持ち、何を説明するのか」を明確にすることです。発生初期の段階でトップとCISOが前面に立ち、自らの言葉で説明する。これにより、「企業としてこの事案にどう向き合っているのか」を、社内外に示すことができます。

ここで強調したいのは、早期の情報発信が持つ「対内的な意味」です。トップとCISOが前面に立てば、社外のステークホルダーだけでなく、社員が安心します。「自分たちのリーダーはこの危機的状況をきちんとマネジメントしている」というメッセージが伝わることで、社員は業務に集中できる。これは強いリーダーシップの証として、社員のモチベーションにも直結します。

逆にトップが前に出なければ、社員もステークホルダーも「会社は何をしているのか」「経営は事態を把握できているのか」と不安を募らせ、組織内部から動揺が広がります。情報発信の主導権を失うことは、社内のリーダーシップも失うことにつながるのです。

もちろん、サイバーインシデントの規模や社会的なインパクトによって、対応の仕方は変わってきます。ただ、どのようなケースであっても基本となるのは、会社のトップがまず前に立ち、CISOがサポートに入り、そこに広報または事業担当の責任者が加わるということです。三者がそれぞれの立場で、何が起きているのかを自らの言葉で説明する。これが危機対応における経営の基本です。

危機対応を左右するCISOの平時の力―EQリーダーシップ、組織アライメント

林：
サイバーインシデント対応に備え、経営層やCISOにはどのような姿勢や考え方が求められるのでしょうか。

平井：
最も重要なのは、平時から二つの土台ができているかどうかです。一つはEQ（感情知性）に裏打ちされたリーダーシップ。もう一つは、経営層とCISOをはじめとする関係者の方向性が揃っている、いわゆる組織のアライメントです。

EQは相手の感情や状況を踏まえて信頼関係を築き、組織を動かしていく力だと考えています。日頃からそうしたマネジメントができていれば、インシデントが起きた時にも「このリーダーの指示に従おう」「CISOの判断を信じよう」という土壌が自然に生まれます。

アライメントについても、同じことが言えます。社員は日常の業務を通じて、経営層とCISOの姿勢を見ています。両者の間でリスク認識や優先順位がずれていれば、その違和感は必ず現場に伝わります。そうした状態のままインシデントが発生し、急に方針が示されても、現場は「本当にこの判断でよいのか」と迷い、意思決定は機能しません。

林：
そうした状況下で、CISOに求められる役割とは何でしょうか。

平井：
CISOの役割を考えた時、鍵になるのは組織の内外をつなぐコミュニケーション能力です。経営トップの発信力もさることながら、CISOには対外的・対内的の双方で、極めて高度なコミュニケーション能力が求められます。

対外的なコミュニケーションとは、メディアやステークホルダーに対する説明責任です。私はCISOも記者会見の場に立ち、自ら説明すべきだと考えています。サイバーインシデントは技術的に複雑です。その内容を記者や株主といった専門外の相手に対して、誤解を招かず、かつ誠実に伝えなければなりません。専門用語に頼るのではなく、本質を分かりやすく語る力が問われます。

一方、対内的なコミュニケーションには、経営層とエンジニアの橋渡し役という、独特の難しさを伴う役割が求められます。経営層は事業判断やコスト、スピードを重視し、エンジニアは技術的リスクや実現可能性を重視するため、両者は使う言葉も優先順位も異なります。CISOにはその双方の視点を理解し、それぞれの論理を相手に伝わるように“翻訳”しながら、最終的に組織として意思決定できる状態へと導く力が求められます。

特に難しいのは、両者の意見が真っ向から対立する場面です。経営層は「この方針で進めたい」と主張し、エンジニアは「それは絶対ダメです」と反対する。そうした状況の中で、双方の主張を踏まえながら一つの判断に収束させる必要があります。これは極めて難しい役割です。