インタビュイー：
フロンティア・アドバイザリー・アンド・コンサルティング株式会社　執行役員　江成 氏

Q1. 改めてサービス概要を教えてください

CISOアズ・ア・サービスは、セキュリティのガバナンスやマネジメントに通じた当社の専門家が、企業のCISO（最高情報セキュリティ責任者）の機能を外部から支えるサービスです。セキュリティ戦略や対策計画の立案、経営層への報告の支援、現場の取り組みへのフィードバックなどを、必要な期間と頻度に合わせて提供します。

提供形態は4つあります。月1〜2回程度の定期訪問型、重要な会議やインシデント発生時などにスポットで対応するオンデマンド型、この2つを組み合わせたハイブリッド型、Web会議を中心としたリモート型です。

業務を丸ごと外部に委ねるのではなく、必要な時に必要なだけ専門家に相談できる形にしているため、企業の体制や予算に合わせて、無理なくCISO機能を補うことができます。

なお、本サービスは技術的な対策の導入や運用を代行するものではなく、セキュリティのガバナンスとマネジメントの面から、企業の判断を支えるものです。

Q2. 改めての経緯や開発の背景を簡単に教えてください

当社はこれまで、地方銀行グループ、証券会社、金融持株会社などの金融機関に対し、サイバーセキュリティに関する継続的な相談・助言や、セキュリティリスク管理の支援を行ってきました。

サイバーセキュリティ対策は、個々の対策を導入するだけでは十分ではありません。対策の全体を俯瞰して優先順位を判断することや、急速に変化する攻撃の手口や対策の動向を踏まえて、対策を継続的に見直すことが欠かせません。こうした役割を担うには、セキュリティのガバナンスやマネジメントに通じた専門家が必要ですが、そのような人材は市場でも限られており、自社で確保することは多くの企業にとって容易ではありません。

これまでの支援の経験を体系化し、こうした専門家の機能を、必要な分だけ外部から提供できる形にしたのが本サービスです。

Q3. 競合他社と比較した際の強みは何ですか？

大きく3つあります。

1つ目は、セキュリティのガバナンスとマネジメントの専門性です。当社のメンバーは、監査法人でのIT監査やシステムリスク・セキュリティのアドバイザリー、金融機関でのシステム開発や監査、大手金融グループでのサイバーセキュリティ統括などの経験を持っています。対策の全体を俯瞰し、規制当局や監査人の視点も踏まえて、優先順位や見直しの方向性を判断できます。

2つ目は、柔軟な利用形態です。業務を丸ごと引き受けるフルアウトソースではなく、必要な時に必要なだけ相談できる形にしています。定期的な相談を中心にすることも、重要な判断の場面に絞って活用することもでき、企業の状況に合わせて使い方を変えられます。

3つ目は、自走を見据えた支援です。当社が判断や作業を代わりに担い続けるのではなく、企業の担当者が自ら判断し進められるよう支え、スキルの移転も並行して進めます。

Q4. 「実現まで共に成し遂げる」というBeyond Advisoryの姿勢は、CISOアズ・ア・サービスの支援では具体的にどのような形で表れていますか？

助言をして終わりにせず、その助言に基づく対策が実際に進んでいるかを見届けることを重視しています。

具体的には、対策の実行状況を定期的にモニタリングし、進め方に課題があれば追加で助言します。また、対策を実施した後には、その結果が狙いどおりの水準になっているかをレビューします。

どの場面にどの程度関わるかは、企業の体制や対策の進み具合に応じて柔軟に変えています。四半期ごとに支援の内容や頻度を見直しながら、対策が着実に形になるところまで伴走することが、「実現まで共に成し遂げる」という当社の姿勢の表れだと考えています。

Q5. 相談が多い導入理由は何ですか？

多いのは、次のようなご相談です。

・セキュリティ責任者に新たに就任したが、さまざまなことを相談できる相手が欲しい

・自社の判断や方針が妥当かどうか、専門家の意見が欲しい

・課題の識別や対応方針について、専門家のレビューを適宜受けたい

・セキュリティベンダーと対策を進めているが、ガバナンスやマネジメントの専門家の視点からセカンドオピニオンが欲しい

いずれも、自社で判断し進める体制はあるものの、その判断を客観的な視点で確かめたいというご要望が根底にあると感じています。

Q6. 導入検討時に比較されやすい代替手段には何がありますか？

主に3つあります。

1つ目は、フルタイムのCISOや専門人材の採用です。ただし、セキュリティのガバナンスやマネジメントに通じた人材は市場でも限られており、採用には時間とコストがかかります。

2つ目は、社内の役員や情報システム部門長による兼務です。組織をよく知っている一方で、専門的な判断や外部動向の把握には限界が出やすくなります。

3つ目は、コンサルティング会社によるプロジェクト単位の支援です。特定の課題には有効ですが、プロジェクトが終わると、継続的に相談できる相手がいなくなります。

本サービスは、専門性を必要な分だけ継続的に活用できる点で、これらの中間に位置づけられると考えています。

Q7. これまでの支援の中で、特に効果が大きかった例や、可能であれば数字で示せる成果はありますか？

本サービスの原型となった支援から、3つの例をご紹介します。

1つ目は、地方銀行グループのセキュリティ専門組織への支援です。組織が抱えるさまざまな課題について、対策方針やロードマップの作成に関する助言とレビューを行い、対策の実装段階では進捗をレビューしました。あわせて、攻撃の動向やセキュリティ対策の動向の変化を踏まえ、対策が十分かどうかの確認も支援しました。これにより、施策の着実な実現に大きく貢献できたと考えています。

2つ目は、証券会社のIT部門への支援です。当局のガイドライン等の充足状況を確認するセルフチェックの枠組みを構築し、その実行を支援しました。また、IT部門のリスク管理機能について、体制や手法の構築をIT部門と二人三脚で進めました。将来的に自社で運営できるよう、スキルの移転もあわせて行っています。

3つ目は、銀行や保険会社などを傘下に持つ金融持株会社への支援です。サイバーセキュリティ戦略の策定と実行について、クライアント自身が進めることを前提に、専門家として助言しました。当社が代わりに戦略を作るのではなく、クライアントが抱えるさまざまな課題意識を、より実効的な戦略に仕立てていく過程を支えた点に意義があったと考えています。

なお、支援の性質上、成果を数値でお示しすることは難しいのですが、いずれもクライアントの取り組みが着実に前進する形で貢献できたと考えています。

Q8.セキュリティ管理体制の整備が進んだと感じられるまで、通常どのくらいの期間がかかりますか？

セキュリティ組織の成熟度や目指す水準によって大きく異なるため、一律の期間をお示しすることは難しいです。

そのうえで、一度にすべてを整えようとせず、優先度の高い課題から順に、3か月、半年、1年といった単位で段階的に進めることをお勧めしています。段階ごとに成果を確認しながら進めるため、早い段階から整備が進んでいることを実感していただけます。

また、攻撃や対策の動向は変化し続けるため、体制の整備は一度で終わるものではありません。整えた体制を継続的に見直していくことも、本サービスで支援する重要な役割です。

Q9. どういった企業が向いていますか。また、成功パターンなどもしありましたら教えてください

特に向いているのは、次のような企業です。

・セキュリティのガバナンスやマネジメントに通じた人材が社内に不足している

・金融機関や、金融機関と取引する事業者など、規制当局や取引先から高い水準の態勢を求められている

・すでに対策を進めているが、その妥当性を第三者の目で確認したい

・経営として、セキュリティ対策の実態に十分に目が届いていないと感じている

また、経営層の立場からは、専門家を経営の「目」として活用いただくこともできます。例えば、目の届きにくいセキュリティ対策の状況について、適切な優先順位で進んでいるか、動向の変化に追いついているかを専門家の立場から確認し、経営として把握しておくべき課題や判断のポイントをお伝えするといった使い方です。現場任せにせず、根拠を持ってセキュリティに関する判断を行いたい経営層の方にもご活用いただけます。

成功しやすいのは、社内にセキュリティの担当者をしっかりと置き、当社がその担当者を支える体制を取っていただくケースです。担当者が主体となって判断し、当社がそれを専門家の立場から支えることで、対策が着実に進み、ノウハウも社内に蓄積されていきます。

Q10. 監査法人や金融機関、事業会社での実務経験を持つ専門家は、導入前から導入後までどのような範囲で伴走しますか？

初期アセスメントから、支援計画の策定、継続的な支援、四半期ごとの評価と見直しまで、一貫して伴走します。

体制は、大手監査法人や大手金融グループでのサイバーセキュリティ統括を経験した執行役員、監査法人でIT監査やシステムリスク・セキュリティのアドバイザリーに長く携わってきた執行役員、金融機関のシステム開発・監査やデジタル庁での政府情報システムの統括・監理を経験したシニアマネージャーなどで構成しています。

支援の範囲は大きく3つです。

・経営層向け：定期報告資料のレビューと改善の支援、経営陣との定期的な意見交換と助言、インシデント時の危機管理への助言

・戦略・計画：リスクアセスメントに基づく優先順位付け、投資計画の妥当性評価、組織・人材戦略、ベンダー戦略

・態勢整備・現場向け：セキュリティガバナンス・マネジメント態勢の整備支援、リスク管理の整備と実効性向上の支援、対策の優先度と深度の評価、監査指摘への対応方針の助言

Q11. 料金プランは、どのような業務量や社内体制を基準に決まることが多いですか？

主に、提供形態（定期訪問型・オンデマンド型・ハイブリッド型・リモート型）と、相談の頻度・範囲によって決まります。例えば、月1回の定期的な相談を中心にするのか、計画の策定やレビューまで含めるのか、といった点です。

また、社内のセキュリティ担当者の体制によって当社が支援する範囲も変わるため、初期アセスメントの結果をもとにお見積りします。

Q12. 今後どのような領域に注力をしていきたいですか。また、今後の展望としてお話できる範囲で教えていただけますでしょうか。

生成AIの業務利用の広がりや、AIを悪用した攻撃の高度化といった変化を踏まえ、AIに関するリスクもCISO機能の対象として取り込んでいきたいと考えています。

また当社は、サードパーティリスク管理（委託先管理）、経済産業省のSCS評価制度への対応支援、AIガバナンスなどのサービスも提供しています。取引先や委託先を含めたサプライチェーン全体でのセキュリティ確保が求められる中で、これらのサービスと組み合わせ、企業ごとの課題に合わせた支援を広げていく予定です。

まとめ・編集部コメント

CISO アズ・ア・サービスは、セキュリティの責任者に求められる判断を、外部の専門家が支えるサービスです。戦略や対策の優先順位を考えるところから、経営層への報告、現場の取り組みの確認まで、企業の体制に合わせて相談できます。 先方の回答で印象的だったのは、助言した後も対策の進み具合と結果を確認し、社内の担当者に知見を残していく姿勢です。地方銀行グループや証券会社などへの支援経験を生かし、規制当局や監査人の視点も踏まえて、企業自身が判断できるよう伴走します。 セキュリティ担当者はいるものの、方針や対策の妥当性を確かめる相談相手が必要な企業に向いています。経営層が現場の状況を把握し、優先順位を持って対策を進めたい場合にも、検討してみる価値のあるサービスです。