もはやセキュリティは「会社価値」の一部である──前オリンパスCISOが説く　経営を動かすリスクの語り方

　ガートナージャパンが2026年7月24日に開いた「ガートナー セキュリティ ＆ リスク・マネジメント サミット 2026」に、前オリンパスSVP兼Global CISOの山西正人氏が登壇した。セッション名は「Global CISOが実践する、経営戦略としてのセキュリティガバナンス」。課題は数え切れないほどある。何から手を付け、どこに人とお金を配るのか。山西氏はセキュリティの話ではなく、会社のお金の配り方から話を始めた。

「10億円投資します」が通らない理由

　「会社というのは、セキュリティに10億円投資します、だから最終利益は10億円下がります、ということは通常許されません」

　セキュリティに10億円を使うなら、他のどこかの投資を10億円減らすことになる。その減らす先はどこか。会社全体で合意ができていなければならない。

　「優先順位をつける上で本当に必要なのは、落とすものを決めることです。何かを落とさないと、本当に大事なものを優先することはできません」

　投資の水準には目安がある。日本サイバーセキュリティ・イノベーション委員会（JCIC）が2026年2月に公表したレポート（※）では、売り上げの0.1～0.6％という数字を示す。ただ、目安があっても自社にとって妥当かどうかは説明できない。同じ問いはセキュリティ組織の中にも向く。抱えているプロジェクトに予算と人をどう配り、どんなKPIで成果を見せるのか。

　ここで役に立つのがERM（Enterprise Risk Management：全社的リスク管理）だ。会社が向き合うリスクを部門をまたいで捉え、戦略を実現するために管理する仕組みを指す。米国の2002年のSOX法をきっかけに開示が求められるようになり、日本でも2019年から有価証券報告書への記載が義務付けられた。

　「上場企業なら、有価証券報告書に必ずリスク情報が書かれていてセキュリティリスクも挙がっている。にもかかわらず、セキュリティ担当者がそれを使って施策を展開しているケースは非常に少ない」（山西氏）

　会社全体の言葉で書かれたリスクと、現場の対策がつながっていない。そこを結び直せば、投資も説明できるようになる。

リスクと「もう起きている問題」は別物

　ERMは、リスクを洗い出し、評価し、優先順位をつけ、対応を決め、全体を見渡して管理する流れで進む。ただ、いきなりこの手順に入ると「ほぼ間違いなくハマる」と山西氏はくぎを刺す。その前に、会社の戦略やビジョン、事業の目的をはっきりさせておく必要があるからだ。

　洗い出しでは、リスクを「組織の目的達成を阻害したり、戦略遂行に影響を与える可能性のある事象」と定義する。ここでよく起きるのが、リスクとすでに起きている問題の取り違えだ。

　「セキュリティリスクがあります、と提示すると、事業部門から『うちは関係ない』『まだ起きていない』と返ってくる。相手が可能性と、すでに起きている事態を混同しているから、そういう反応になる」（山西氏）

　「それはリスクではない」と否定してくる人もいる。昔やっていなかったことの責任を問われる、という不安が背景にあることが多い。「あなたを攻撃したいわけではないと伝えて安心してもらうのが最初の一歩」と山西氏は話した。

　一方で、すべてを拾おうとはしない。細かく洗い出せばリスクは数百に膨れ上がる。会社全体で追いかけられるのは10～15個。「会社の中で大騒ぎになる」ものだけを挙げ、経営層自身にリスクの持ち主になってもらう。

　書き方の悪い例も示された。「XXシステムの脆弱性がポリシーに準拠していない」は出来事ですらない。「ウイルス感染」は規模が分からない。良い例はこうだ。

　自社システムがサイバー攻撃を受けることにより、自社の主要業務（受発注、生産、出荷）が停止する

　内視鏡を主力とするオリンパスなら、その先には病院の医療行為が止まる事態がある。ここまで書き切ると、守るべき範囲が絞れる。内視鏡本体だけではない。洗浄液のような消耗品の供給も止めてはならない、という判断が出てくる。セキュリティ部門が「ビジネスを止める邪魔者」ではなく、事業を守る側として見てもらえる効果もある。

3段階で評価すると、優先順位が決まらない

　評価は、影響度、発生頻度、起きるまでの速度の3つで行う。段階の分け方について、山西氏はこう話した。

　「レベル分けは偶数を推奨します。3段階など奇数だと、人間はどうしても真ん中を選ぶ。リスクが中央に集中して、優先順位が分からなくなってしまう」（山西氏）

　4段階なら、一番上のレベル4は「会社がつぶれるかも」という水準に置く。示された基準は、損失が売り上げの10％以上、あるいは全社で1カ月以上事業が止まる場合だ。重大な事態とそれ以外の線引きは、レベル2と3の間に引く。

　評価に厳しさを求めすぎないことにも触れた。未来の予想なのだから、証明などできない。「あくまで予想です」と割り切り、他社の事例を参考にする。評価が終われば影響度と発生頻度の2軸に並べ、経営層と話し合う対象は上位のCriticalとHighに絞る。

3年後の目標を約束し、それまでは保険でしのぐ

　対応は、低減、回避、移転、受容の4つから選ぶ。実際には組み合わせだ。例に挙がったのは、自社システムが止まるリスクに3年かけて手を打ちつつ、その間はサイバー保険でしのぐという方針だった。影響度も発生頻度も、いまのレベル4から3年後にレベル3へ下げる。そこまで目標を置く。

　リスクマネジメントの責任者はCISOやCIOだけにしない。サプライチェーンの責任者のように、事業側の人を必ず入れる。投資額も単年度ではなく、目標に届くまでの総額で経営層と合意する。例では、FY26からFY28まで各年のCAPEX（設備投資）とOPEX（運営費）を1億～3億円規模で置いていた。なお、この金額や以降で挙げる施策はいずれも講演内で示された例示であり、オリンパスの実績値ではない。

　いま動いている施策も、同じ枠組みで整理する。影響度を下げるもの、発生頻度を下げるもの、直接の効果はないが他の施策の前提になっているもの、どちらにも効かないもの。この4つに分ける。例では、SIRTやSOC、特権ID管理が影響度側、Exposure管理や脆弱性管理、EDRが発生頻度側。工場の資産管理は前提、内部情報漏えい防止は「このリスクには効かない」として優先度を下げる対象になった。

　時間軸に並べると、いまの施策だけでは目標に届かないことが見えてくる。例では、影響度も発生頻度もFY28末までレベル3に下がらなかった。そこで影響度は、セキュリティの外側で手を打つ。BCPの強化や製品在庫の積み増しを、経営層に提案する。

　ここまで組み立てておけば、経営層の問いにも返せる。今年いくら必要で、来年はいくらか。この前も投資したが、あれと何が違うのか。xx億円使ったのに、なぜ良くならないのか。どれもCISOが答えに詰まりやすい質問だ。

求められるのは「技術のトップ人材」ではない

　最後に、山西氏は人材の話をした。セキュリティ人材が足りないとよく言われる。だが、ここまでのガバナンスを回すのに、全員が高い専門技術を持っている必要はあるのか。

　脅威の分析や技術的な検証は、外部の専門家に任せればいい。社内に足りていないのは別の力だ。自社の事業と現場の仕事をよく知り、関係部署と話をまとめられ、自社の状況をリスクの目で見て決められる人。技術は委託や教育で埋められるが、事業の理解も社内の調整もリスクの判断も、社内の人にしかできない。

　「世間一般で言われるセキュリティエンジニアの要件にとらわれず、社内の事業部門やIT部門からビジネス理解の深い人材を登用し、セキュリティの視点やリスク管理の考え方を教育していく。それがこれからのCISOやセキュリティ組織に求められているのではないか」（山西氏）

この記事の著者

関連記事

• 

  DX・AXプロジェクトの成功に必要な条件とは - コスモエネルギーHD ルゾンカ氏

• 

  味の素社が挑む“dX”とAI駆動開発――“企画・開発・営業ができる人財”が新規事業を加速する

• 

  森ビルが挑む、DXを通じた「ヒルズライフ」の充実とコア領域の内製化

• 

  AI時代のチェンジリーダーに必要な条件とは？ - 世界的デザイナー Takram 田川氏

• 

  "自分事"がセキュリティを強くする――経営・現場・CSIRTの認識をそろえ、カイゼンし続ける組織へ

• 

  IT部門発! サービス創出のために断行した全社変革――セブン銀行 相原氏

• 

  「やりたくない仕事」からAI化せよ　――NEC CISOが語る、生成AIでセキュリティ防御を変えるための組織の作法

• 

  国際情勢とAI時代の企業防衛──サイバー犯罪は「世界第3位のGDP」、ウクライナに学ぶレジリエンスの本質