その他

企業レジリエンスを高めるサイバーリスク対応とは｜ARMA 2026 Day 1

サイバーセキュリティセキュリティリスクコンサルティング事業継続

2026年8⽉12⽇公開

もし明日、自社がサイバー攻撃の被害を受けたら　―

システム停止そのものよりも深刻なのは、その後に迫られる意思決定かもしれません。
サイバーインシデント発生時に企業が向き合うのは、主に次の4つの意思決定です。

顧客への説明
取引先への報告
情報開示
事業継続の判断

サイバーリスクや危機管理の議論というと、多くの場合は「どう防ぐか」に焦点が当たります。しかし、企業に求められるリスクマネジメントは、防御だけではありません。事業継続（BCP）や企業レジリエンスの観点から、組織としてどう対応し、企業価値を守るかも重要なテーマです。

攻撃を受けた後も事業を継続し、顧客との信頼を守り、企業価値を維持できるか。

その力こそが、企業レジリエンスではないでしょうか。
前回の記事では、ARMA Day 1で見えてきたリスクマネジャーの共通課題について紹介しました。本記事では、その中でも関心の高かったサイバーリスクを取り上げ、企業レジリエンスの観点から考察します。

企業価値向上につながるリスクマネジメントの共通課題

サイバーリスクが企業経営に与える影響とは

サイバーインシデントは、IT部門だけで完結する問題ではありません。
有事には、経営、IT、法務、広報、事業部門など、多くの社内関係者が同時に動くことになります。

ARMA Day 1の参加者からも、

参加者の声

「サイバーリスクはIT部門だけの課題だと思っていたが、経営や事業部門を含めた全社的な対応の必要性があることを改めて認識した」

「システム部門との連携や、グループ横断の対応体制を見直したい」

という趣旨の声が聞かれました。組織が止まるのは、必ずしもシステムが停止した時ではありません。

本当に組織を止めるのは、意思決定が止まった時です。

AIG　阿部　瑞穂

AIG　中村　玲於奈

サイバーリスクの変化は、企業に何を問いかけているのか

AIG阿部瑞穂と中村玲於奈は生成AIの普及やサイバー犯罪の組織化による脅威の変化を紹介。サイバーリスクが技術的課題にとどまらず、経営課題として捉えられるようになっている現状について議論しました。

サイバーリスクは「重大な経営リスク」へ

サイバーリスクは企業のリスクランキングでも上位に位置づけられており、経営層の関与やステークホルダーへの説明責任が求められる重大な経営リスクとなっています。

リスクマネジャーが押さえたい、サイバーリスク対応の5つの視点

IT部門の課題を超えた経営課題
経営層による主体的関与
ステークホルダーへの説明責任
サプライチェーン全体を含むリスク認識
企業価値に直結するリスクマネジメント

サイバーインシデント対応に必要な企業レジリエンス

もちろん、防御は重要です。一方で、生成AIの悪用やサイバー犯罪の組織化によって、攻撃はより巧妙になり、その影響も拡大しています。だからこそ今、企業に求められているのは、「侵入されないこと」を目指すだけではなく、「侵入されても動き続けること」なのかもしれません。

参加者からも、

参加者の声

「サイバーBCPは整備しているが、有事に本当に機能するかを確認したい」

「専門業者への依頼先や初動対応の流れが十分整理できているか不安が残る」

という声が挙がりました。

問われているのは、計画の有無ではなく、その実効性です。

有事に動ける組織は、平時から準備と訓練を重ねている組織です。

「検知できなかったら次にどうするか」

AIGでサイバーリスクアドバイザーを務める中村玲於奈は、生成AIの悪用によって攻撃者の裾野が広がり、サイバー攻撃の高度化が進んでいる現状を紹介したうえで、「検知できなかったら次にどうするか」が重要になると指摘しました。

リスクマネジャーが確認したい、有事の組織対応における5つの論点

完全防御を前提としないリスク認識
有事を見据えた事業継続体制
防御とレジリエンスの両立
技術対策と経営判断の接続
持続的改善を前提としたリスク管理

リスクマネジメントと事業継続（BCP）の関係

ARMA Day 1のワークショップでは、参加者がそれぞれの組織でリスクマネジメントを担う当事者として、自社で最悪の事態が発生した場合を想定しながら議論しました。

そこで挙がったのは、次の4つの経営インパクトです。

顧客離れ
レピュテーションの低下
資金調達への影響
事業停止・企業価値の毀損

興味深いのは、議論の中心が攻撃手法そのものではなく、「その時、自社はどうなるのか」だったことです。

参加者からは、

参加者の声

「最悪のケースを考えることで、自社が本当に守るべきものが見えてきた」

「グループ会社との情報共有や意思決定の流れを確認したい」

「身代金要求への対応方針を事前に整理しておく必要がある」

という声も聞かれました。

リスクマネジメントは、危機対応のためだけのものではありません。平時においては、企業を取り巻くリスクを把握し、経営課題への対応や投資判断を支えます。有事においては、迅速な意思決定を支援し、事業継続や企業価値の防衛を支えます。平時の備えが有事の対応力につながり、有事の経験が次の経営判断に活かされるのです。

その循環こそが、企業レジリエンスの土台です。