取締役会が問うたサイバーセキュリティの責任者：香港企業のvCISOという答え

要約： 香港のプロフェッショナルサービス企業で、取締役会が年次レビューの席上でシンプルな質問を投げかけた——「サイバーセキュリティの責任者は誰なのか」。正直な答えは、その責任が総務担当者、外部委託しているIT業者、そして実質的には「特定の誰か」ではない状態に分散しているというものだった。これは取締役会が二度は容認しない答えだ。解決策は、この規模の企業には到底正当化できないフルタイムCISOの採用ではなく、フルタイムのコストを負わずに「誰が責任者か」に答えられるフラクショナルCISO（兼任CISO）だった。

香港のプロフェッショナルサービス企業は「ITに任せておけば大丈夫」の段階をとうに過ぎている

これは実在の顧客ではなく複合的なシナリオだが、香港の中堅プロフェッショナルサービス業界——法律事務所、会計・監査事務所、企業アドバイザリー、保険ブローカーなど——のスタッフ数おおむね60〜100名規模の企業では、よくあるパターンだ。こうした企業は、二人程度のIT担当が黙々とシステムを維持しているだけで、取締役会からのサイバーセキュリティに関する質問に答えられる段階をとうに過ぎている。攻撃対象として十分な規模になっているからだ。クライアントファイル、取引文書、個人資料（プライバシー）条例（PDPO）の対象となる個人データなど、その価値は企業自身の売上規模から想像する以上に、攻撃者にとって魅力的なものになっている。そして、特に規制業種のクライアントが、契約書にサインする前に踏み込んだデューデリジェンスの質問を投げかけてくるほどの規模にもなっている。

しかし、フルタイムの最高情報セキュリティ責任者（CISO）を正当化できるほどの規模ではない。香港市場でのフルタイムCISOのフルロード人件費は、おおむね月額5,000〜15,000米ドル程度が相場で、これはそのポジションが通常必要とするツールや資格、チームを含まない金額だ。従業員60〜100名規模のプロフェッショナルサービス企業にとって、この数字をパートナー会議で正当化するのは難しい。ましてやセキュリティ機能自体は直接収益を生まない。結果としてそのポジションは作られず、企業は誰も正式にその責任を負わないまま運営を続けることになる。

その裏側では、じわじわと圧力が積み上がっている。専門職業賠償責任保険（PI保険）会社は、3年前と比べて更新時の質問が明らかに鋭くなっている。規制業種——銀行、ファンド、保険会社、そしてそれらがさらにサービスを提供する企業——に属するクライアントは、契約書にセキュリティ態勢に関する条項を盛り込む傾向を強めている。これは当のプロフェッショナルサービス企業自体が免許を持つ機関だからではなく、クライアントに代わってデータや文書を扱っており、クライアント側の規制当局がそのチェーン全体の信頼性を期待しているからだ。これはどこか一社に固有の話ではなく、プロフェッショナルサービス業界全体で契約とリスク引き受けの前提が変わりつつあるということであり、その影響を最も強く受けるのが、まさに本記事が扱う規模の企業——問いを投げかけられるほど大きく、まだ答えを用意できるほどには体制が整っていない企業だ。

実際に誰がセキュリティの責任者なのか——多くの企業にとって正直な答えは「みんなの責任であり、誰の責任でもない」

現実にはこうなる、というパターンは、同規模の企業で繰り返し見られる。セキュリティに関する判断は、その場に居合わせた人がその都度下すという、場当たり的なかたちで行われる。総務担当者はフィッシング演習ベンダーの営業電話を受け、デモを予約するかどうかを自分で判断する。外部委託しているIT業者はパッチを適用しファイアウォールを管理するが、セキュリティのロードマップを所有するよう求められたことは一度もない——それは業務範囲書に含まれたことがなく、そもそも大半のIT委託契約はそのために設計されていない。あるパートナーが同業他社のランサムウェア被害の記事を読み、ITに「これを調べてくれ」と依頼すると、ITはそれなりに妥当だが場当たり的な対応をする——照らし合わせるべき既定の計画が存在しないからだ。

これは怠慢ではない。企業がIT・セキュリティの「実行」——パッチ適用、監視、ヘルプデスク対応——を外部委託しながら、その「所有」を誰にも割り当てていない場合に、自然に起きることだ。年間のセキュリティロードマップを策定する人はおらず、パートナー会議に出て企業の実際のリスク態勢について率直に答えられる人もおらず、クライアントのデューデリジェンス質問書や規制当局からの照会に対して企業を代表して答える職責を持つ人もいない。作業自体はおおむね行われている。しかし「所有」そのものが存在しない。

ここで明確にしておくべきなのは、欠けているのは技術的な能力ではないということだ。外部委託先のIT業者は、サーバーへのパッチ適用やパスワードのリセットを行う能力を十分に持っている。欠けているのは、企業全体のレベルで、時間軸を通じて下される判断——今年の優先事項はリモートアクセスの穴を塞ぐことなのか、それとも新しい監視ツールを購入することなのか、企業の本当に大きなリスクはパートナー数名のメールアカウントであって、誰もがそうだと思い込んでいるファイルサーバーではないのではないか、といった判断だ。この種の優先順位付けこそがセキュリティリーダーシップという役割の存在意義であり、「ITに任せておけば大丈夫」がすべてになったときに抜け落ちる層そのものだ。

この曖昧さが実際に企業にもたらすコスト

この問題を実際に表面化させるのは、多くの場合、技術的なインシデントではなく、取締役会やパートナー会議レベルの問いかけだ。クライアントの調達部門やコンプライアンス部門から契約更新レビューの一環としてセキュリティ質問書が送られてきて、「貴社の情報セキュリティプログラムの責任者は誰か」「インシデント対応計画は何か」「直近のリスク評価はいつ実施したか」といった項目に、答えを起草できる明確な担当者がいない。サイバー保険の更新では、アンチウイルスとバックアップだけでなく、名前のあるセキュリティ機能の証拠を求められる。同業他社の情報漏えいが業界メディアで報じられたのをきっかけに、監査委員会が経営陣に直接誰がサイバーセキュリティの責任者かを尋ねると、「うちのITベンダーが対応している」という答えは、以前ほど納得感を持たれなくなっている。

ここから3つの現実的な問題が生まれ、それらは互いに複合していく。第一に、戦略的なセキュリティの方向性が存在しない——企業は本来のリスクベースの計画ではなく、直近の衝撃的なニュースやベンダーの売り込みに場当たり的に反応することになる。第二に、コンプライアンスやクライアントのデューデリジェンスに関する質問が届いても、誰も説得力を持って答えられる立場にいない——プロフェッショナルサービスの契約書にセキュリティ態勢条項が盛り込まれる割合が増えている中、これは現実の商業的リスクだ。第三に、企業は何度も同じ行き止まりに戻ってくる。この規模では到底正当化できないフルタイムCISOの採用という選択肢だ。結果としてこのギャップは四半期ごとに開いたままになり、取締役会が直接問いかけるといった何かのきっかけがあるまで、放置され続ける。

厄介なのは、これら3つの問題のどれも、外部委託先のIT業者に「もっと頑張ってもらう」だけでは解決しないということだ。彼らはそもそもロードマップを所有するよう求められたことがなく、この規模のIT委託契約の多くは、戦略的なリスク責任を負うためではなく、システムを稼働させ続けるために価格設定・人員配置されている。その役割を非公式に追加で担わせようとすれば、関係に無理が生じるか、あるいは取締役会やクライアントのデューデリジェンスチーム、保険会社を満足させられない、薄っぺらで場当たり的なバージョンしか生まれない。これはベンダーのパフォーマンスの問題ではなく、構造的な問題だ——そもそも誰にもその権限が与えられていないのだ。

フラクショナルCISOなら、フルタイムの給与を負わずに取締役会に「名前」を提示できる

このギャップに対するBrocentの答えがフラクショナルCISO契約だ。Brocentの管理型セキュリティサービスの一覧では「vCISO」アドオンとして掲載され、Homepage Bの料金概要では「フラクショナルCISO」と表記されている。これは脆弱性スキャン、パッチ管理、セキュリティ意識向上トレーニング、MDR/EDR、SOC-as-a-Serviceと同じアドオン層に位置づけられる、実在の見積もり可能なサービス項目であり、マーケティング上の概念ではない。考え方はシンプルだ。この規模の企業は、給与台帳にフルタイムのセキュリティ幹部を抱える必要はない。必要なのは、同水準の判断力と説明責任を持つ人材を、その企業規模が実際に生み出すCISO業務量に見合った形で関与させることだ。

フラクショナルCISOは、フルタイム雇用者と同じようにセキュリティロードマップを所有・管理する——優先順位を設定し、リスクを追跡し、何を先に修正するかを決定する——一方で、企業はフルタイム幹部の給与、福利厚生、離職リスクを、この規模では正直週40時間を必要としない役職のために背負う必要がない。さらに、この契約は香港のプロフェッショナルサービス企業が実際に直面するコンプライアンスの問いに明確に対応している——クライアントと従業員の個人データに関するPDPOの義務、そして新規契約の前提条件になりつつあるクライアント側のデューデリジェンス質問書だ。つまり外部から持ち込まれた汎用的なセキュリティコンサルティングではなく、この種の企業が実際に問われる質問に答えるために設計されている。クライアント層が規制業種——銀行、ファンド、保険会社——に偏っている企業ほど、この点はより鋭く現れる。Brocentの金融サービス業界向けの香港での取り組みは、SFC・HKMAに関連するコンプライアンスやPDPOに準拠したデータ取り扱いを軸に構築されており、これはまさに、その企業自体が規制対象事業者であるかどうかにかかわらず、プロフェッショナルサービス企業自身のセキュリティ態勢がますます評価される基準そのものだ。

このフラクショナルCISOは、汎用フレームワークだけを携えて外部から投入される独立コンサルタントではない。Brocentの管理型ITセキュリティサービスの一部であることで、このフラクショナルCISOには実際に指揮できる運用チームが存在する——ISO 27001とCISSP認定を受けたセキュリティスタッフが、すでに企業のために日々の予防的チェック、パッチレビュー、24時間365日のインシデント対応を実施している。誰も実行に責任を持たない提案書のスライド一式を取締役会に手渡すのとはわけが違う。戦略と実行が同じ関係の中に存在する——これこそが、社内のジェネラリストと正式なセキュリティ権限を持たない外部委託ベンダーとの間で役割が分断されているとき、この規模の企業に欠けているものだ。

フラクショナルCISO契約は実際の日常でどう機能するか

実際には、フラクショナルCISO契約は企業に名前のある責任者を提供する——共有の受信箱でも、ローテーションするアカウントマネージャーでもなく、その人物がセキュリティロードマップを所有し責任を負う。この人物は、汎用的なチェックリストではなく、企業の実際のリスクプロファイルに基づいてその年の優先順位を設定する——どのシステムとデータが最も重要か、現実的なギャップはどこにあるか、どの順序で修正するか。彼らはクライアントのデューデリジェンスチーム、監査人、サイバー保険の引受人に対して企業のセキュリティ態勢を代表する立場にあり、それはパートナーが会議で即興で対応したり、契約範囲外の質問にIT担当者が無理をして答えたりするのとは違う、「これが自分の職責であり、答えを知っていなければならない」という信頼性に裏打ちされている。

重要なのは、フラクショナルCISOが日々の管理型ITに取って代わるのではなく、それと並行して機能するという点だ。vCISOが方向性を設定し、戦略とレポーティングを所有する一方で、企業の管理型ITセキュリティサービス——ISO 27001とCISSPに裏打ちされ、24時間365日のセキュリティ監視、パッチレビュー、インシデント対応、コンプライアンス対応レポーティングを実施するチーム——がロードマップの求める運用作業を行う。どちらか一方が欠けるとギャップが生じる——実行する人のいない戦略か、方向性を設定し結果について取締役会に説明する人のいない実行かのどちらかだ。両者が揃って初めて実質的なセキュリティ機能となり、しかもそのコストは、エンタープライズ予算ではなく、従業員60〜100名規模の企業に見合ったものになる。

このモデルの下での実際の四半期は、「取締役会からの問いかけ」という導入部が示唆するほど劇的なものではない——そしてそれこそが重要な点だ。フラクショナルCISOは未解決のリスク項目を見直し、事業で実際に起きた変化——新しいオフィスの賃貸契約、規制業種に属する新規クライアントの獲得、経理チームが調達プロセスを経ずに導入した新しいSaaSツールなど——に照らしてクローズまたは優先順位を見直す。管理型ITチームと監視・パッチデータが実際に何を示しているかをすり合わせ、直近のベンダー提案を承認するか、あるいは異議を唱え、IT部門以外には理解できない技術レポートではなく、取締役会が読める短い更新報告を用意する。クライアントのデューデリジェンス質問書が届いたとき、あるいはサイバー保険の更新で名前のあるセキュリティ機能の証拠を求められたとき、それに記入するのはこのフラクショナルCISOであり、締め切り直前の慌ただしい対応ではない。

責任者不在 vs フルタイムCISO vs フラクショナルCISO

この状況にある企業にとって、実際に存在する選択肢は3つあり、それぞれが実際に何をもたらすのかを正直に整理しておく価値がある。

• 指定されたセキュリティ責任者が不在（「うちのITベンダーが対応している」）——表面上は最も安価な選択肢であり、この規模の多くの企業が、あえて決めないことでデフォルトで陥る状態でもある。ロードマップを策定する人はおらず、取締役会に説明責任を負う人もおらず、クライアントのデューデリジェンス質問書や監査人の質問に本当の権威を持って答えられる立場の人もいない。このギャップは予算表には現れないが、取締役会、大口クライアント、保険会社といった発言力のある存在が直接その質問を投げかけたときに、初めて表面化する。
• フルタイムCISOの採用——実質的で専属の責任体制であり、エンタープライズ規模では「正解」となる選択肢だ。しかし香港市場の相場である月額おおむね5,000〜15,000米ドルのフルロードコストで考えると、従業員60〜100名規模の企業にとって正当化するのは現実的に難しく、しかもこの規模でのフルタイム採用は往々にして稼働率が低い——この規模の企業にとって、セキュリティ幹部の実際の業務量が週40時間を満たすことはめったになく、それ自体がある種の無駄になる。
• フラクショナルCISO（Brocentのモデル）——ロードマップを策定し、クライアントと規制当局に対して企業を代表し、それを実行する管理型ITチームと並んで働く、名前のある責任者。その規模と価格は、エンタープライズの人員配置の前提ではなく、この規模の企業が実際に生み出す業務量に合わせて設計されている。

よくある質問

フラクショナルCISOは日常的に実際に何をするのか

フラクショナルCISOは企業のセキュリティロードマップを策定・所有する——直近のベンダー提案ではなく実際のリスクに基づいて優先順位を決定し、定期的なペースで企業のセキュリティ態勢をレビューし、求められればクライアント、監査人、保険会社にその態勢を代表して説明する。監視、パッチ適用、インシデント対応といった日々の技術的な実行は、このvCISOが指揮する管理型IT・セキュリティチームが担い、vCISO本人がチケットを直接処理するわけではない。

フラクショナルCISOはIT担当者や外部委託IT業者とどう違うのか

IT担当者や外部委託IT業者は、一般にシステムを稼働させ続けること——パッチ適用、ヘルプデスク対応、ネットワークの稼働維持——に責任を持つ。フラクショナルCISOが責任を持つのは、企業の*セキュリティ戦略と説明責任*だ——ロードマップを策定し、リスクに関する意思決定を所有し、取締役会、クライアント、規制当局に対して企業の態勢について説明する。大半のIT委託契約は、そもそもこの「所有」の層を含むよう設計されていない——これこそがフラクショナルCISOが埋めるギャップだ。

フラクショナルCISOのコストは、フルタイムCISOの採用と比べてどうか

香港でのフルタイムCISOのフルロード人件費は、おおむね月額5,000〜15,000米ドルが相場だ。フラクショナルCISO契約は、この規模の企業が実際に生み出す業務量に合わせて範囲と見積もりが設定されるため、その一部のコミットメントで済み、この規模では週40時間を必要としない役職のために、フルタイム幹部の給与、福利厚生、離職リスクを負う必要がない。Brocentのvciso（フラクショナルCISO）アドオンは、定額料金ではなく契約ごとに見積もりが行われる。適切な範囲は企業規模とリスクプロファイルに実際に左右されるためだ。

フラクショナルCISOはクライアントや監査人に対して企業を代表できるのか

できる——それはこの役割の中核的な部分だ。名前のあるフラクショナルCISOは、クライアントのセキュリティデューデリジェンス質問書に回答し、監査人やサイバー保険の引受人に企業の実際のセキュリティ態勢を説明することができる。それは「これが自分の職責であり、答えを知っていなければならない」という立場に基づくものであり、パートナーやIT担当者が普段の業務範囲外で即興対応するのとは異なる。

フラクショナルCISOだけで十分なのか、それとも背後に管理型ITチームが必要なのか

フラクショナルCISOは戦略を策定し説明責任を負うが、それ自体が日々の監視、パッチ適用、インシデント対応を実行するわけではない。企業の管理型ITセキュリティサービス——vCISOが策定したロードマップを実行するチーム——と並行して機能するよう設計されている。実行を伴わない戦略も、方向性を設定する人のいない実行も、どちらも現実のギャップを残す。両者は一体となって機能することを前提としている。

典型的な契約では、月あたりどれくらいの稼働時間になるのか

これは企業規模とリスクプロファイルによって変わるため、BrocentのvCISOアドオンは定額の月額料金ではなく契約ごとに見積もりされる。フラクショナルモデルの要点は、そのコミットメントの規模が、この規模の企業が実際に生み出すセキュリティリーダーシップ業務量に合わせて設計されているということだ——フルタイム職よりも明らかに少ないが、単なる時折の確認以上の、実質的な所有権を担うには十分な量になる。

これはPDPOコンプライアンスに具体的に役立つのか

フラクショナルCISO契約は、香港のプロフェッショナルサービス企業が実際に直面するコンプライアンスの問いに対応するよう設計されており、クライアントと従業員の個人データに関するPDPOの義務はその中でも最も一般的なものの一つだ。問題が起きるたびに場当たり的に対応するのではなく、企業のデータ取り扱い態勢に責任を持つ名前のある担当者がいることは、万が一PDPO関連の照会、苦情、監査が企業に及んだ場合に、明らかに有利な立場になる。

これが管理型ITプランの中でどこに位置づけられるか

取締役会の当初の問いに対する正直な答えは、「フルタイムCISOを採用する」でも「引き続きITベンダーに任せる」でもない。フラクショナルCISOは管理型ITに代わるものではなく、それと*並行して*機能するものであり、だからこそユーザー単位の管理型ITプランを軸に構築された仕組みこそが、この機能が本来収まるべき場所になる。Brocentの管理型ITサポートプランはまさにこの考え方に基づいて構築されている——Startup、Established、Growth、Enterpriseの4つの階層があり、ユーザーごと・月ごとの料金体系で、24時間365日の監視、ヘルプデスク、管理型ファイアウォール、パッチ管理、バックアップといった運用の基盤はすべての階層に含まれており、vCISO、SOC-as-a-Service、MDR/EDRといったセキュリティアドオンは、企業のリスクプロファイルに応じて上乗せできる。

取締役会が「サイバーセキュリティの責任者は誰か」と問いかけたばかりの香港のプロフェッショナルサービス企業にとって、現実的な次の一歩は単独のセキュリティサービスを購入することではない。この規模の企業にとってユーザー単位の管理型ITプランがどのようなものになるかを話し合うことであり、フラクショナルCISOはその中で、取締役会が指摘した具体的なギャップを埋めるアドオンの一つとなる。これは、単独でvCISOコンサルタントを探すのとは意図的に異なる出発点だ。vCISOが策定するロードマップは、それを日々実行するチームがあって初めて本当の価値を持つ。両者を別々に購入することは、誰も実行しない戦略文書か、戦略のないままチケットをこなすだけのITチームのどちらかに終わる典型的な原因になる。

詳細な料金情報はこちらにまとめられており、4つのプラン階層すべてと、フラクショナルCISO、SOC-as-a-Service、脆弱性スキャンといったアドオンがどのようにプランに上乗せされるかを確認できる。貴社の規模にとってフラクショナルCISOと管理型ITプランが実際にどのようなものになるか——契約開始後、最初の取締役会サイクルで取締役会が実際に何を受け取れるかを含めて——を最短で把握する方法は、料金ページだけから逆算しようとするのではなく、Brocentに直接相談することだ。