KPMGコンサルティングは4月25日、世界の約1,900人の上級管理職へサイバーセキュリティとプライバシー保護の調査を実施。これを基にデジタルトラスト構築に係る日本企業の課題を明らかにしたレポート「KPMGサイバートラストインサイト2022（日本語版）
」を発行した。
同調査は、「信頼性の向上が企業活動にもたらす効果」「デジタルトラスト（デジタル技術の活用への信頼）の動向」「信頼の構築に於いて最高情報セキュリティ責任者（CISO）が果たす役割」をまとめた。
併せてサイバーセキュリティとプライバシー保護を企業に対する「信頼」へ繋げる5つのステップも紹介。国外企業との比較を基に日本独自の課題についても解説している。
ちなみに調査対象のサンプルのうち、42%がCxOを含む経営層で構成されている。回答者には31の市場（アジア太平洋地域24%、欧州・中東・アフリカ地域50%、北米16%、南米10%）および次の主要産業分野（エネルギー・天然資源、金融サービス、ライフサイエンス・製薬、メディア、娯楽、技術、公共部門、通信）のリーダーが含まれる。全回答者は、1億米ドル以上の年間売上高があり、うち45％は5億米ドル以上、23％は10億米ドル以上、7％は50億米ドル以上となっている。
——————————————————————
事業上に於ける取り組みを「信頼」に繋げていく5ステップは以下の通り
１.▶サイバーセキュリティやプライバシー保護をビジネスと結びつけて扱う
サイバーセキュリティとプライバシー保護を、組織のビジネスプロセス、ガバナンス、文化に組み込み、コンプライアンス部門主導ではなく、ビジネスに不可欠な要素とする。
２.▶社内の協力関係を築く
CDO（最高データ責任者）やCPO（最高プライバシー責任者）と協力し、デジタルトラストの確立、定着、維持に貢献する。
３.▶CISOの役割を再認識する
より幅広い課題を受け入れ、ESGからAI倫理に至るまで、幅広い貢献が出来ることを認識する。
４.▶経営層の支持を得る
CISOは経営層や取締役会の支持を得ることで、信頼に関する課題の推進に貢献しやすくなるため、CISOは狭義の技術的役割から組織の戦略的キーパーソンへと進化させることが最も重要となる。
５.▶エコシステムを頼る
組織のエコシステム内の主要なパートナーを特定し、それらのパートナーと密接に連携し、信頼とレジリエンスの向上に貢献する。
——————————————————————
主な調査結果は以下の通り
▶デジタルの進化
企業のDXが本格化する中、ステークホルダーとの「信頼」が重要にとなった。今調査では、回答者の多くが信頼性向上がもたらすメリットを「収益性の向上」（37%）、「顧客維持率（カスタマーリテンション）の向上」（36%）、「取引先との関係性の強化」（34%）を挙げた。
またDX推進の過程で、サイバーセキュリティとプライバシー保護への投資は、戦略的イニシアティブの達成に不可欠とし、80％以上の回答者が「サイバーセキュリティとデータ保護の改善が重要」、51%が「サイバー攻撃からIT資産を保護することが大切」としている。
▶デジタルトラストの動向
産業界でAI（人工知能）やML（機械学習）の利用が進むにつれ、信頼への課題が生じる。というのは取扱いを間違うと風評被害や規制当局の制裁を受ける可能性があるからだ。これらの導入時には解決すべき倫理課題があり、組織はその過程で開示を加速させていく必要がある。
▶信頼できるコミュニティの構築
エコシステムへの信頼確立には、サプライヤーの建設的な関与が不可欠とされ、消極的な姿勢は重大な弊害をもたらす。実際60%の回答者が「サプライチェーンの脆弱性によって攻撃される可能性がある」と答えた。
▶CISOの進化
CISOの役割は過去5年間で急拡大している。CISOは「革新と成長にブレーキをかける存在」ではなく、成功要因として重要な役割を果たすもとなった。一方で、CISOと取締役会の関係で回答者の2人に1人が疑問に感じている。一方で回答者の3人に1人が取締役会はCISOを重要な幹部とみなしていないと答えている。
——————————————————————
日本の特徴は以下の通り
日本は国際環境に比べ、CISOの影響力が限られている点や社外（パートナー企業、政府、NGOなど）との連携が十分ではない。
一方で日本の取組みが進んでいた点は「リスクモデリングによるサイバーリスクの定量化と取締役会への視覚的な報告」で、こちらは全体より10ポイント以上も高い。
また日本では「取締役会はCISOを重要な幹部とみなしていない」「CISOは十分な影響力を持っていない」との回答が高い。
更に日本では「サイバーセキュリティに関する教育・啓発の推進」「サイバーインシデント発生時のステークホルダー・広報対応」に於いて力が発揮出来ていない。
日本では、社外との連携が弱い。従ってサプライチェーン攻撃への対応強化としてパートナー企業との連携の強化。情報共有先として政府、NGO、国際機関等とのコミュニティ構築が求められる。