ビジネスコンサルティングなど幅広い事業を展開するPwCが2024年10月初旬に発表した報告書によれば、経営幹部の間でサイバーセキュリティについて意識のすりあわせが不十分だと分かった。CEOなどのビジネス幹部とCISO（最高情報セキュリティ責任者）などの技術幹部の間の不一致だ。

　2024年5～7月に調査した結果をまとめたPwCの報告書「2025 Global Digital Trust Insights」によると（注1）、技術幹部の3分の2以上はサイバーセキュリティを最も重要なリスクとして捉えている。これに対し、同じように考えているビジネス幹部の割合は48％で過半数を下回る。

　この調査は、主要な大陸に位置する世界77カ国の4042人のビジネス幹部と技術幹部を対象に実施されたものだ。幹部の4分の1は売上高50億ドル以上の大企業が占めた。アジア太平洋地域の回答者は全体の18％だった。

　「CISOが計画に深く関与し、取締役会へ報告し、技術導入を監督している」と回答したのはビジネス幹部のうち40％台の後半だった。さらに、CISOと経営幹部の間では、特にAIや（電力やガス、鉄道、空港などの）重要インフラに関わる規制への企業の対応力に関する意見の相違が見られた。

　セキュリティ業界が企業に対してサイバーリスクを中核的なビジネスリスクとして受け入れるよう促している時期に、技術幹部と経営幹部の間に懸念すべき隔たりがあることを本調査は浮き彫りにした。

　PwCのCyber＆Privacy Innovation Instituteでリーダーを務めるマット・ゴーハム氏は次のように述べた。

　「この隔たりは懸念すべきものだ。セキュリティやITの領域を担当する技術幹部は、日々の運用上の困難や潜在的な脆弱（ぜいじゃく）性に敏感だ。だが、これらのリスクを経営チームに効果的に伝えていない、あるいは伝える機会がないことを示している可能性があるからだ」

　これは投資をどこに振り分けるかという意思決定にも現れる。調査対象となった技術幹部にとっての投資の最優先事項はクラウドセキュリティであり、次にデータ保護と信頼性が続く。対照的に、ビジネス幹部のほぼ半数はデータ保護をビジネスにおける最優先事項とし、その次に技術の近代化を挙げた。

　米国証券取引委員会（SEC）が、重要なサイバーインシデントを投資家に開示することを企業に求める規則を採択してから1年以上が経過した。規則では企業はサイバー戦略とリスクについても投資家に開示することが求められている。

　過去の調査では、CISOが経営幹部や取締役会に情報を届けやすくなっている一方で、さまざまなステークホルダーがそれぞれ異なる優先事項を持つことが判明した。

　サイバーセキュリティ事業を営むTrend Microが2024年5月に発表した報告書によると（注2）、CISOは企業の取締役会から、組織が直面するサイバーリスクの深刻さを軽く見せるよう圧力を感じていると示されている。