この構造的不合理を解決する現実的な方法はないでしょうか？
CEOやCISOが新たに就任した際、就任初期に独立機関を通じて組織のセキュリティ全体を点検する 「就任セキュリティデューデリジェンス（Initial Independent Security Posture Review）」を導入してみてはどうでしょうか。 

新たに就任したCEOやCISOが、就任初期に外部の独立機関を通じて組織のセキュリティ状態を客観的に点検し、その結果を公式記録として残すプロセスです。 

海外の実務動向を見ると、このアプローチは十分に現実的であり、説得力があります。EYは新任CISOの初年度戦略において、まず会社の現在のセキュリティ状態を点検すべきであり、その出発点として独立したセキュリティ態勢評価（independent assessment of cybersecurity posture）が重要であると説明しています。要点は、脆弱性スキャンはもちろんのこと、ポリシー・手順・技術・組織運営の全体を合わせて点検することです。

なぜこのようなプロセスが必要なのでしょうか。
理由は簡単です。人間も新しい病院に行けば、まず基本検査を受けます。会社も同様です。新しいリーダーが組織を引き受けたなら、今のセキュリティ状態がどうなっているかをまず確認するのが正常です。 

しかし、現実にはむしろ逆の動きをすることが多くあります。問題を公式に発見した瞬間、説明責任と改善責任が同時に生じるためです。そのため、一部の組織では「正確に見ようとしないこと」が、むしろ都合の良い選択肢になることもあります。ですが、そうやって見ぬ振りをしてもリスクが消えるわけではありません。ただ記録されないだけです。

特にCISOの役割においては、この問題がより顕著に現れます。調査によると、CISOの平均在任期間は約18〜26ヶ月であり、一般的なCレベル幹部の平均4.9年よりも大幅に短いです。また、Heidrick & Strugglesの調査では、CISOたちが挙げた最大の個人的リスクはストレスが71%、燃え尽き症候群が54%であり、29%は侵害事故後に職を失う可能性があると懸念していました。この数値が物語っているものは明らかです。CISOは単に技術をよく知る人物ではなく、不確実なリスクと責任を同時に背負うポジションであるという点です。そうであればなおさら、「自分がどのような状態を引き継いだのか」を公式に確認する仕組みが必要です。

海外の制度変化もこの問題意識を裏付けています。
米国証券取引委員会（SEC）は2023年にサイバーセキュリティ開示の最終規則を採択しました。上場企業はサイバー事故を重大と判断してから4営業日以内に開示しなければなりません。年次報告書には、サイバーセキュリティリスク管理・戦略・ガバナンス体制を説明する必要があります。経営陣が「セキュリティをどのように管理しているか」を投資家や市場の前で説明しなければならない構造が作られたということです。セキュリティはもはや内部の実務チームだけの仕事ではなく、経営説明責任の対象となりました。

欧州はさらに一歩進んでいます。ネットワークおよび情報システムセキュリティ指令2（NIS2）は、経営陣や管理機関がサイバーセキュリティリスク管理措置を承認し、その履行を監督しなければならないと明記しています。また、違反した場合には相当なレベルの行政罰体系も設けています。デジタルオペレーショナルレジリエンス法（DORA）も、金融分野におけるICTリスク管理に対する管理機関の全面的かつ最終的な責任を明確にしています。 

言い換えれば、「セキュリティはITチームが勝手にやる仕事」という言葉は制度的に通用しなくなり、経営責任が強化されているというトレンドです。