2026年、持続可能なデジタルビジネスの実現に向けて──取締役会が注視すべき「重要な影響度（Material Impact）」の見極め
一見、意外に思われるかもしれません。
取締役会やガバナンス組織が許容できると考える最小限の重要な影響と、前例のないサイバー攻撃の最中にも維持できるデジタルビジネスの範囲との間には、相互依存の関係があります。
そして、このテーマを掘り下げるほど、この2つのバランスこそが、CISOがCIOやCDOを支援し、組織をデジタルおよびAIイノベーションの実現へ導くうえで重要であることが分かるはずです。
では、説明しましょう。
重要なリスクは許容できるのか
私が話をする取締役会は、どこも事業継続計画（BCP）を作成しています。
私が話をするCISOは、誰もが復旧時間目標を持っています。
それにもかかわらず、ほとんどの組織は、次の単純な問いに答えられません。
市場が認識しているその企業らしさを失う前に、このビジネスは実際にどの程度の重要な影響を吸収できるのか。
過去12か月間で、SECのEDGAR記録によれば、15社から20社ほどの公開企業が、強制開示項目であるForm 8-KのItem 1.05に基づき、サイバー攻撃が財務状態または業績に影響を及ぼしたことを開示しています。
このItem 1.05は、企業が重要であると判断したインシデントに限って使用されるものです。
これは侵害件数の全体ではありません。企業の弁護士やCFOが、重要性の基準を超えたと書面でSECに認めた侵害だけの件数です。
SECが2024年5月に示したガイダンス以降、企業は、その影響額が本当に開示を迫るものでない限りItem 1.05の適用に慎重になっています。
そのため、さらに数十件がItem 8.01に基づく任意開示として報告されています。
この事実を、少し考えてみてください。
12か月の間に、15から20の取締役会が「この攻撃は当社の数値を動かすほど重要だった」とする一文に承認を与えたのです。
そしてSECの新しいCyber and Emerging Technologies Unitは、開示が遅すぎた企業を注視しています。
ここで本当に問うべきなのは、次のことです。
これらの取締役会のうち、侵害が起きる前に「どの程度の重要な影響なら許容できるのか」という問いに、定量的な答えを持っていたところはどれだけあったのでしょうか。
20年にわたり向かい合ってきた経験から言えば、私の推測では、ほとんどなかったでしょう。
しかしお気づきの通り、その一歩を踏み出すことこそ、取締役会がCISOを支援し、次の侵害と次の開示に備えた組織づくりを進めるうえで、最も重要な取り組みなのです。
「BCP対策しています」が答えにならない理由
もちろん、BCPは不可欠です。
しかし、それだけではもはや十分ではありません。
なぜなら、計算が合わないからです。
許容できる重要な影響が事業全体の最大1％である場合、事後に重要業務の15〜20％を復旧できたとしても、それは事業が99％稼働していることを意味しません。
それは、事業の80〜85％が壊れた状態に、復旧計画を貼り付けているにすぎません。
これは、経営陣が投資家に対して実際に許容できると説明したデジタル面の混乱量と、長く困難な期間を経て実際に復旧できた「必ず復旧すべき」システムのリストとの間にあるギャップです。
そのギャップの中に、評判の毀損、規制当局からの罰金、顧客離れ、そして次の8-K修正開示が存在します。
そして、前例のないサイバー攻撃や侵害の最中にも重要な業務を影響なく維持するという目的は、この計算を逆転させます。
すべてのCISOは、戦略的な取り組みとして侵害への備えを構築することで、最大許容重要影響（MAMI）によって定義される最小実行可能デジタルエンタープライズ（MVDE）を影響のない状態に保つ計画を立てることができます。
AIを活用する攻撃者の時代：MAMIはCISOに目標を与え、MVDEはCISOに地図を与える
侵害への備えに対する投資は、組織が吸収できる重要な影響の許容水準に直接比例します。
これは、CISOが取締役会からまず引き出すべき最初のインプットであり、その逆ではありません。
MAMIが、売上、規制対応、顧客信頼といった観点で定量化されれば、次のインプットは自然に導き出されます。
デジタルエンタープライズのどの部分を、たとえ3つ先のマイクロセグメントで何が起きていても、稼働し続け、影響を受けない状態に保つ必要があるのか、ということです。
それが、最小実行可能デジタルエンタープライズ、つまりMVDEです。
MVDEは単なるリストではありません。アーキテクチャです。そして2026年には、眠らず、ためらわず、人間の介在を必要としない攻撃者を前提に構築されていなければなりません。
2026年6月、自律型のAI主導キャンペーンにより、55か国で600台を超えるFortiGateファイアウォールが侵害されました。
この事実を受け止めてください。
600台のファイアウォール。55か国。
人間の攻撃者がこの速度で動くことはありません。
そして、どれほど人員が充実したSOCであっても、この速度でトリアージすることはできません。
機械の速度で動く攻撃者に対する唯一の防御は、検知で攻撃者を追い越そうとすることではなく、攻撃経路そのものをなくすことです。
これがゼロトラストであり、MVDEが計画上の演習から、実際に強制力を持つアーキテクチャへと変わる地点です。
データ、AI、アプリケーションの堅牢化も不可欠だが、マイクロセグメンテーションが基盤となる
あらゆるコミュニケーションにおいて、利用者体験はアプリケーション層から始まり、アプリケーション層で完結します。
その多くは、最新のAI機能によって支えられ、下層のデータレイヤーを活用しているはずです。
これらのレイヤーの多くは、許可された場合に限り、正しいアイデンティティが正しいリソースへアクセスできるよう、慎重に構築され、堅牢化される必要があります。
AIの進展により、近い将来、AIエージェントは私たちのデジタル環境の中を自在に動き回るようになるでしょう。
そして、サイバーセキュリティにおけるフロンティアAIモデルの成長に伴い、世界はより速く、より広範で、より複雑かつ多層的な攻撃に直面することになります。
どの取締役会でも、「AIに対して何をしているのか」という問いが、ダモクレスの剣のように頭上にぶら下がっています。
経営幹部は、Chief AI Officer、CIO、あるいはCDOとともに、次なるAIイノベーションを計画するために多忙を極めています。
これらはいずれも下層のデータを利用し、アプリケーション上でAIの価値を発揮できるようにするものです。
しかし、こうした魅力的なレイヤーの下には、あるシステムが別のシステムと通信できるようにするデジタルインフラがあります。
アプリケーションも、AIも、データも、その上に成り立っています。そして多くの攻撃者は、それらの間にある設定上の接続点を狙います。
つまり、アプリケーション、AI、データに脆弱性があったとしても、下層のデジタルインフラに、あるシステムから別のシステムへ到達する経路がなければ、攻撃者は攻撃を成立させることができません。
基本に立ち返る：侵害されてはならないゾーンとマイクロセグメントとしてデジタルエンタープライズを設計する
ゾーニングは新しい考え方ではありません。ISO 27001にも、ISA 62443にも含まれています。
多くの組織では、どこかのスプレッドシートにTier-0資産のリストがあるはずです。
問題は、そのスプレッドシートの下にあるネットワークがフラットであり、重要ではない人事セグメント内のワークステーションが、決済処理の中核へ向かう入口になり得ることです。
Tier-0リストは紙の上では正しくても、接続を許可しないよう実際に強制する仕組みがアーキテクチャに存在しなければ、実務上は意味を持ちません。
ここでMVDEは、問いそのものを大きく変えます。
事業リーダーは、「何を復旧しなければならないのか」と問うのではなく、MAMIの指針を踏まえ、「今日の時点で、どのデジタルシステムに対して影響を受けない状態に保つよう設計できるのか。そして、明日に向けてどれを計画すべきなのか」と問う必要があります。
CISAはこれを非常に率直に表現しています。生き残るための計画を立てよ。予防だけでは十分ではない、ということです。
デジタルエンタープライズを、リストではなくゾーンとして整理します。ゾーン1とゾーン2は、MVDEの大部分を担います。
つまり、24時間365日稼働するOTや収益に直結するシステム、そして圧力下ではオフラインにできる重要だが生存可能なシステムです。
ゾーン3とゾーン4は、ユーザーや行動に起因するリスクを担います。
ここでは、EDRテレメトリをマイクロセグメンテーションと組み合わせることで、本来そのアクセスが存在すべきでないゾーンでの特権アクセス試行を検知できます。
ゾーン5は、それ以外すべてです。
すべてのゾーンは、デフォルトでラテラルムーブメントを拒否するマイクロセグメントから構成されます。
そこではブロックリストではなく、許可リストに基づくポリシーが用いられます。
各マイクロセグメントは制御された経路を通じて接続され、攻撃が検知された瞬間にその経路を切断することで、影響範囲を攻撃が始まったセグメント内に封じ込めます。
調査では一貫して、侵害の最大70％が、Tier-0資産へ到達するためにラテラルムーブメントに依存していることが示されています。
経路を断てば、その背後にいるのが人間であれ、自律型AIを操る人間であれ、攻撃キャンペーンを断つことができます。
次の取締役会で何を意味するのか
CISOに「当社は安全ですか」と問うのはやめましょう。
代わりに、次の2つの定量的な問いを投げかけるべきです。
- 最大許容重要影響を、金額、規制上のエクスポージャー、顧客信頼の観点で設定し、その内容と見直し時期を経営チーム全員に共有できているか。
- 仮にAIの速度で動く攻撃者によってその閾値が試される事態になった場合に備え、綿密に設計された侵害対応準備プログラムによって、影響を受けずに維持できるデジタルエンタープライズの割合を、現在の水準からどのように着実に高めていけるか。
もし2つ目の問いに対する正直な答えが「BCPがあります」だとしたら、12か月後のSEC提出書類に何が書かれるかは、すでに分かっているはずです。
侵害への備えは到達点ではありません。
規律です。
事業上の変更があるたびに見直され、四半期ごとに事前にテストされ、侵害は「起きるかどうか」ではないという前提のもとに構築されるものです。
今年、Item 1.05に基づく8-Kを作成している組織は、セキュリティ予算が不足していたわけではありません。
定量化されたMAMIと、設計されたMVDEが不足していたのです。
侵害への備えをどこから始めればよいか分からない場合は、まず現在のMVDEを把握するために、侵害対応準備の影響を評価することから始めてください。
次のステップは、デジタル資産とAI資産の棚卸しに立ち返り、MVDEを提示し、MAMIを求める準備をすることです。
すでにお気づきかもしれませんが、侵害に備えるための秘訣は、まず始めることです。
そうすれば、その道を進み始めることができます。
自社が現在どの位置にあり、侵害に備えたMVDEをどのように構築し始めるべきかを知りたい場合は、ColorTokens（カラートークンズ）日本語公式サイトからお問い合わせください。
公開日：2026/6/23
著者：Agnidipta Sarkar
※本記事では、アメリカのサイバーセキュリティ企業 ColorTokens（カラートークンズ）社が発信しているセキュリティ情報（英文）を、日本の代理店である株式会社電巧社が許諾を得て日本語に翻訳し、要約して掲載しています
※記事は掲載後に修正される可能性がございますので、ご了承ください
※過去の記事もアップしておりますので、現在の情報と異なる可能性がございます。上記の公開日をご参考ください
この記事の著者：電巧社セキュリティブログ編集部
