日本の CISO に足りないものは「権限」

誰もが思っていることそのものズバリなことを書いてくれた IPA の報告書が公開されていたのでメモ。
報告書の全文は「CISO 等セキュリティ推進者の経営・事業に関する役割調査－調査報告書－」から読むことができますが、結論としては以下の２点に尽きるのではないかと思います。

「CISO等セキュリティ推進者の経営・事業に関する役割調査」報告書について：IPA 独立行政法人 情報処理推進機構

(ア) 日本企業における課題

1. 経営・事業に関する役割に必要となる権限が、CISOに与えられていないから役割を果たせない。
2. オペレーションの機能（経営層が示した戦略と現場の個別の取組みを調整する機能）が重要であるが、それを実行できるCISO等が十分いない。