自由市場を使用して、組織がサイバーセキュリティに適切に優先順位を付けるための適切なインセンティブを促進することは可能ですか？これは、ニューサウスウェールズ大学サイバーセキュリティ研究所がMDRセキュリティと提携して主催し、政府、産業、学界のリーダーを集めた最近の議論の主題でした。チャタムハウスルールの下で開催された議論の多くは、2023〜2030年のオーストラリアのサイバーセキュリティの開発に関連していました 戦略 オーストラリアの経済全体のサイバー成熟度を拡大することを目的としたセカンドホライズン。市場のインセンティブは、2つの戦略の優先事項または「シールド」の2つの優先順位を開発する上で大きな役割を果たすことができます。強力なビジネスと市民、安全な技術です。
参加者は、市場のインセンティブが重要であることに同意しましたが、アプローチはさまざまな聴衆に合わせて調整する必要がありました。他の業界での市場メカニズムの使用のいくつかの励ましの例があります。たとえば、フリーレンジの卵の生産者は製品のプレミアムを請求し、多くの顧客はそのメリットが認識されているため、そのような製品を積極的に選択します。
政府は、さまざまな方法で望ましい行動を推進することができます。これには、モノのインターネットのために現在開発中のラベリング規制など、消費者に通知するための自発的基準を定義すること、および組織がサイバーセキュリティリスクの管理について利害関係者との透明性と説明責任を維持することを保証することが含まれます。政府機関は、調達規則を使用して、政府データを処理するシステムのINFOSEC登録評価者プログラムや、防衛サプライチェーン企業の防衛産業セキュリティプログラムメンバーシップを介した評価を含む特定の基準と認定を奨励することもできます。
議論中に行われた提案の1つは、オーストラリアの証券取引所リスティングルールを変更して、取締役会メンバーのボーナスをサイバーセキュリティの結果にリンクすることでした。 6月の主要なサイバー攻撃を受けて、エグゼクティブメンバーの短期的なインセンティブを減らすというカンタス委員会の決定は、このモデルのテンプレートを提供する可能性があります。政府はまた、ターゲットを絞ったインセンティブと税制の救済など、特定の行動を促進するために税制をどのように使用できるかを検討することができます。
教育も重要であると見なされていました。一般的なキャンペーンは、消費者に正しい質問をするように教えるだけでなく、サイバーセキュリティを維持するための社会的期待を生み出すこともできました。自由範囲の卵の例は、社会的圧力が何ができるかを示しています。また、さまざまなエンドユーザーコミュニティが、テクノロジーの選択と関与について適切なリスクベースの決定を下すのに役立つより焦点を絞ったガイダンスが必要です。
保険は、サイバーセキュリティへの投資が保険料を削減することを促進できると期待して、別の重要な要素として提案されました。同等のケースは、保険会社の要件が海運会社が効果的な著作権侵害対策を実施するよう運営している海事産業で見つけることができました。
しかし、一般的に、サイバー保険業界は効果的に機能していないと感じられました。これは、保険会社の価格リスクを可能にするための適切なデータが不足していること、および手ごろなレベルまでプレミアムを促進する脅威のエスカレートに関する懸念が原因である可能性があります。この市場の失敗の根本原因は不明であり、さらなる研究が有用です。
最終的には、市場のインセンティブが役割を果たしていたが、これまでのところしか行けなかったことが一般的に合意されました。政府は、強力な執行と罰則の信頼できる脅威に裏付けられた特定の行動を規制し、義務付ける必要があります。企業が労働者の健康と安全を真剣に受け止めさせたのは、刑務所に行く脅威であることが指摘されました。規制当局が、主要なデータ侵害の後、組織に対する重要な財政的罰則の賦課を追求しているのを見てきました。しかし、重大な過失が発生して主要なサイバー事件をもたらす場合、さらに進んで刑事告発を追求する必要がありますか？
このような強力な規制について議論するとき、一部の人々は、それが上流のプロバイダーをターゲットにするべきだと示唆しました。内務省はこれについて直接尋ねていませんが 相談 戦略の2番目の地平線では、私たちの議論からのコンセンサスは、当然のことながら、製品とサービスがデザインされることを保証することであるという重要な目標でした。サプライヤーは、安全でないものを販売しないようにするためにインセンティブを受ける必要があります。このケアの義務には、以前のサプライチェーンを審査する必要があることを考えると、サプライヤーはそれをすべて自分で行うことができない可能性があるため、説明責任を持つ柔軟性が必要な場合があります。
サイバーセキュリティは単なるIT問題ではありません。それは共通の責任であり、経済的命令です。回復力を確保することによってのみ、私たちは自信を持って新しいテクノロジーを採用し、その利点を実現できます。議論は、サイバーセキュリティ戦略の次の地平線には、安全で回復力のあるデジタル経済を構築するという政府の目的を実現するために、規制、市場の力、文化的変化を含むインセンティブの組み合わせが必要になることを強調しました。
#市場のインセンティブとサイバーセキュリティ壊れたシステムが私たちを壊す前に修正する