By Mhicole A. Moral、特集・コンテンツライター

組織は現在、テクノロジーがビジネス活動のほぼあらゆる部分を支えるデジタル経済の中で事業を展開している。相互接続されたシステムへの依存が深まるにつれ、サイバーセキュリティとデータ保護は長期的なビジネス戦略においてますます重要な要素となっている。

これらの課題は、BusinessWorldサイバーセキュリティ・サミットにおける「サイバーセキュリティの法律とコンプライアンスをナビゲートする」と題された第1回パネルディスカッションのテーマを設定した。パネルでは、グローバルなサイバーセキュリティ規制がフィリピンの組織にどのような影響を与えているか、そしてコンプライアンスだけではもはやサイバーセキュリティの強化に十分ではない理由が検討された。

サイバー犯罪調査・調整センター（Cybercrime Investigation and Coordinating Center）の次官補兼副事務局長であるAlvin M. Navarro氏は、サイバーセキュリティは企業保護をはるかに超えるものであり、その影響は政府機関、国家の安全、そして一般市民にまで及ぶと述べた。

「一般の人々の間では、サイバーの脆弱性を悪用する暗部は詐欺を通じて実感されている。当機関が受け取るすべての苦情の60%以上が詐欺に関するものだ。人々が被る損失、不安、そして苦しみを想像してほしい」と彼は説明した。

Navarro氏は、デジタル変革が公共サービスの提供を改善するため、政府の優先事項であり続けていると述べた。ただし、サイバーセキュリティはその変革のあらゆる段階に組み込まれなければならないと強調した。

「サイバーセキュリティがデジタル変革に組み込まれていることを確認する必要がある。第一に、公共サービスを改善するため。第二に、それらの公共サービスを提供するために意図されたすべてのシステムとプロセスが堅牢で安全であることを確認するためだ」と彼は付け加えた。「もしこれらのすべてが失敗した場合、揺らぐのは経済だけではない。政治的安定と国家としての存続にも影響を及ぼすだろう。」

R.G. Manabat & Co.（KPMGフィリピン）のテクノロジー・コンサルティング・パートナーであるGilbert T. Trinchera氏は、サイバーセキュリティは複数の力がもはや独立して機能するのではなく、組織全体で融合する段階に入っていると述べた。

今年初めに発表されたKPMGの最新のサイバーセキュリティ検討事項を引用し、Trinchera氏は、人工知能、地政学、規制、ハイパーコネクティビティ、非人間アイデンティティ、サプライチェーンの依存関係、耐量子計算暗号、自律型セキュリティという8つの主要な力が現在および今後数年間にわたりサイバーセキュリティを再構築していると述べた。

「これらの力は単独のサイロで個別に機能しているのではなく、融合している。だからこそ、政府機関であれ民間産業であれ、企業全体において重要な必須要件となっているのだ。これはすべての人にとって大きな検討事項である。なぜなら、目標はすべてのコンプライアンスチェックリストを完璧にすることではなく、現状を理解し、プロアクティブでリスク回避的であり、確実にクライアントとステークホルダーに対して一貫して信頼を示すことだからだ」と彼は説明した。

DivinaLawのマネージング・パートナーであるJay R C. Ipac氏は、現在フィリピンの企業に影響を与える最も影響力のある規制のうち2つは、欧州連合の一般データ保護規則（GDPR）と欧州連合のNIS2指令であると述べた。GDPRの域外適用範囲により、EU居住者の個人データを処理するフィリピン企業は所在地に関係なく遵守しなければならない。一方、2023年に施行されたNIS2指令は、サイバーセキュリティの義務をより広範なセクターに拡大し、EU全体でより厳格なインシデント報告要件を課した。

一部のフレームワークはまだ草案段階にあるものの、Ipac氏はそれらがサイバーセキュリティの議論が技術的なコンプライアンスを超えて組織のレジリエンスへと拡大していることを示していると述べた。

彼はまた、フィリピン中央銀行（Bangko Sentral ng Pilipinas）を同国で最も積極的なサイバーセキュリティ・ガバナンスの規制当局の1つとして挙げ、金融機関が急速な技術変化とますます洗練されたデジタル脅威に直面していると指摘した。BSPの監視は、2012年データプライバシー法（Republic Act No. 10173）および2012年サイバー犯罪防止法（Republic Act No. 10175）を含むフィリピンの既存の法的基盤の上に構築されており、これらの法律はデータ保護とサイバー犯罪の起訴に関する同国の基本的な義務を確立したものである。

Maya Philippines Inc.のコーポレート・アフェアーズ責任者であるKristoffer Rada氏は、世界中のサイバーセキュリティ法は現在、責任を技術チームに限定するのではなく、取締役会と上級経営陣に説明責任を求めていると述べた。

「焦点は今や予防だけから運用上のレジリエンス、つまり検出、対応、復旧、そして重要なサービスの提供を継続する能力へと移行している」と彼は強調した。

しかし、技術だけでは不十分である。顧客の認識も同等に重要であり、同社は技術的な保護対策と一般向け教育キャンペーンを組み合わせている。

「規制はリスクベースかつ成果ベースであるべきであり、それにより機関は成果に対して説明責任を負いながら、より優れた技術を採用する余地を残すことができる。また、透明性はタイムリーで、正確で、人々に有用なものでなければならない。最後に、サイバーセキュリティは協力的でなければならない。脅威インテリジェンス、詐欺防止、インシデント調整、そして消費者教育は、政府と産業界の協力を必要とする」とRada氏は説明した。

技術的責任からビジネス・ガバナンスへ

国際規制の影響力の拡大は、組織がサイバーセキュリティのリーダーシップをどう定義するかについても変化をもたらした。

Ipac氏は、多くの組織が依然としてサイバーセキュリティをほぼ完全に最高情報セキュリティ責任者や情報技術部門に委ねていると述べた。企業は多くの場合ポリシーを策定し文書化を完了しているが、実際のサイバーインシデントが発生した際には、それらの準備が頻繁に不十分であることが判明している。

「最大の誤解は、依然としてサイバーセキュリティを技術の問題と見なしていることだ。すべてのステークホルダーは、サイバーセキュリティがデジタル化されたビジネスにおけるすべての企業のアジェンダの最優先事項であることを保証することに、真の関心を持つべきだ」と彼は述べた。「従業員は最大の資産である。単なる認識ではなく、公衆が信頼するレジリエンスを生み出すサイバーセキュリティ文化を構築できなければならない。」

Navarro氏は、ビジネスリーダーは組織の将来に対する責任を担いながら、十分な情報に基づいた意思決定を行えるだけの技術的理解を備えているべきだと述べた。その責任の主要な部分は、組織全体にわたって強力なサイバーセキュリティを維持することである。

「サイバーセキュリティは、企業に計り知れない影響を与えるだけでなく、間違いなく国家の安全にも影響を及ぼす規模にまで達している」と彼は説明した。

人工知能がリスクを高める

組織は効率を改善し防御を強化するために人工知能（AI）を使用しているが、同じ技術がサイバー犯罪者に攻撃を仕掛け、情報を操作し、無警戒なユーザーを搾取する新たな手段も提供している。

パネリストは、これが技術革新と規制の間の格差を広げ、組織が新しい法律が施行される前にガバナンスを確立する責任を一層重くしていると述べた。

Trinchera氏は、フィリピンはAIの導入が立法のペースを上回る時期にあると述べた。AI関連の法案がいくつか提出されているが、組織は現在、AIの使用に関する説明責任を明確に定義する包括的な法的枠組みなしで活動している。

「意味するのは、AIを使用しているのが善意であれ悪意であれ、誰も説明責任や義務の感覚を持っていないということだ。単なる遊び場にすぎない」と彼は説明した。

彼はさらに、フィリピン人のソーシャルメディア、デジタルプラットフォーム、オンラインマーケットプレイス、新興技術の広範な利用が、AI主導の詐欺、偽情報キャンペーン、フィッシングの試み、その他のサイバー脅威に対する追加的な機会を生み出していると付け加えた。

十分な認識とガバナンスがなければ、テクノロジーは有害なコンテンツの拡散を加速させると同時に、サイバー攻撃をより説得力のあるものにし、検出をより困難にすると彼は述べた。

「規制の収束が我々の目標であるべきであり、それは信頼を維持するという究極のビジョンに合わせるべきだ。これは、業界や管轄区域に関係なく、誰もが理解している現在の普遍的な通貨である」と彼は強調した。

Navarro氏は、立法プロセスは当然ながら技術の発展より遅いものの、立法はAIのペースに追いつこうとしていると述べた。それまでの間、彼は組織に対して、独自の運用要件とサイバーセキュリティリスクに基づきAI使用を管理する内部ポリシーを策定するよう奨励した。

組織は、それぞれの運用に特有のセキュリティギャップに対処しながら、責任あるAI使用を定義する実践的なガバナンス措置をすでに策定できると彼は述べた。

「まだ法律はないが、決して絶望的な状況ではない。手が縛られている状況ではない。我々の組織から、我々のニーズ、直面しているセキュリティの問題やギャップにより特化したポリシーをすでに策定できる」とNavarro氏は述べた。

一方、Mayaは大規模な取引量の中で疑わしい金融取引を特定するためのツールとして人工知能を使用している。

Rada氏は、テクノロジーは機会とリスクの両方をもたらすと述べた。ポリシーとフレームワークは重要であり続けるが、政府と協力することで有意な結果を生み出す。

「公共部門と民間部門の協力が必要である。政策立案者、立法者、執行機関と密接に協力すべきだ。それが合理的な政策を策定するという点で追いつくことができる唯一の方法だからだ」と彼は説明した。