サイバーセキュリティ経営ガイドラインとは

サイバーセキュリティ経営ガイドライン

サイバーセキュリティ経営ガイドラインとは、経営者自らがリーダーシップをとって進めるべくセキュリティ対策をまとめたものです。セキュリティ対策の実施を「コスト」ではなく、事業活動に必須な「投資」と捉えることが重要で、経営者としての責務と考えるべきとされています。

サイバーセキュリティ経営ガイドラインは、2023年５月に Ver3.0 が公開されました。

サイバーセキュリティ経営ガイドラインは、経営者が認識すべき３原則、サイバーセキュリティ経営の重要10項目、および、チェックシートなどの付録で構成されます。

経営者は、以下の３原則を認識し、対策を進めることが重要です。特に下線部は、V3.0で変更があった箇所です。

経営者は、サイバーセキュリティリスクが自社のリスクマネジメントにおける重要課題であることを認識し、自らのリーダーシップのもとで対策を進めることが必要です。

これは、セキュリティ対策のためには、全社的な責任者の任命や体制の構築、情報システムへの投資などが必要になるためです。

サイバーセキュリティ確保に関する責務を全うするには、自社のみならず、国内外の拠点、ビジネスパートナーや委託先等、サプライチェーン全体にわたるサイバーセキュリティ対策への目配りが必要です。

これは、いくら自社のセキュリティ対策を万全にしても、サプライチェーンが脆弱であれば、その脆弱性を起点として自社まで影響が及ぶためです。

平時及び緊急時のいずれにおいても、効果的なサイバーセキュリティ対策を実施するためには、関係者との積極的なコミュニケーションが必要です。

特に緊急時における情報開示の遅れは、企業に対しての不信感を高め、社会的信頼を損なってしまう可能性があります。

経営者は、以下の重要10項目について、サイバーセキュリティ対策を実施する上での責任者や担当部署への指示を通じて、組織に適した形で確実に実施させる必要があります。

これらは、単なる指示ではなく、実施方針の検討、予算や人材の割当、実施状況の確認や問題の把握と対応等を通じてリーダーシップを発揮することが含まれます。

サイバーセキュリティリスクを経営者が責任を負うべき経営リスクとして認識し、組織全体としての対応方針（セキュリティポリシ）を策定し、策定した対応方針を対外的な宣言として公表させる必要があります。

指示１の実践状況のチェックリストは以下になります。

サイバーセキュリティリスクの管理に関する各関係者の役割と責任を明確にした上で、リスク管理体制を構築させ、サイバーセキュリティリスクの管理体制の構築にあたっては、組織内のガバナン
スや内部統制、その他のリスク管理のための体制との整合を取らせる必要があります。

指示２の実践状況のチェックリストは以下になります。

サイバーセキュリティに関する残存リスクを許容範囲以下に抑制するための方策を検討させ、その実施に必要となる資源（予算、人材等）を確保した上で、全ての役職員に自らの業務遂行にあたってセキュリティを意識させ、スキル向上のための人材育成施策を実施させる必要があります。

指示３の実践状況のチェックリストは以下になります。

事業に用いるデジタル環境や情報を特定させ、それらに対するサイバー攻撃（過失や内部不正を含む）の脅威や影響度を評価させ、サイバー保険の活用や専門ベンダへの委託を含めたリスク対応計画を策定させ、対応後の残留リスクを識別させる必要があります。

指示４の実践状況のチェックリストは以下になります。

守るべきデジタル環境、サービス及び情報を特定し、当該資産の場所やビジネス上の価値等に基づいて対策の優先順位付けを行っている。
守るべきデジタル環境、サービス及び情報に対するサイバー攻撃（過失や内部不正を含む）の脅威、脆弱性を特定し、これらによるサイバーセキュリティリスクが自社の事業にいかなる影響があるかを把握している。
リスクアセスメント結果に基づいてリスク対応計画を策定している。