4.4経営管理とセキュリティガバナンス

これまでの章では現場の対策・管理策を中心に学びましたが、本節では視座を上げ、経営者がセキュリティにどう責任を持ち、統治(ガバナンス)するかを扱います。SGの学習の締めくくりとして、個別の対策が経営の意思決定とどうつながるかを理解します。

4.4.1情報セキュリティガバナンスとコーポレートガバナンス

• 情報セキュリティガバナンス＝経営者が主導して、情報セキュリティに関する方針決定・資源配分・モニタリングを組織全体で機能させる仕組み。現場任せにせず、経営者自身がリスクを認識し説明責任を負う点が中核です。ISMS(第2章)が「どう運用するか」の仕組みであるのに対し、ガバナンスは経営者がその仕組みを機能させる責任を持つという一段上の視点です。
• コーポレートガバナンス（企業統治）＝株主・取締役会等が経営者の経営を監督し、経営の透明性・健全性を確保する仕組み。情報セキュリティガバナンスは、このコーポレートガバナンスの一部（IT・セキュリティ領域における具体化）と位置づけられます。内部統制(本章s2)は、経営者が業務の適正性を確保するために整備・運用する仕組みであり、コーポレートガバナンスを支える構成要素の1つです。

4.4.2サイバーセキュリティ経営ガイドラインと委託先管理

• サイバーセキュリティ経営ガイドライン＝経済産業省・IPAが策定した、経営者がリーダーシップを発揮してサイバーセキュリティ対策を推進するための指針。「経営者が認識すべき3原則」と「セキュリティ対策を実施する上での重要10項目」から構成され、サイバーセキュリティをコスト（経費）ではなく経営投資として捉える発想の転換を経営者に促す点が特徴です。
• 委託先管理＝自社のセキュリティ対策だけでは不十分で、業務委託先・クラウド事業者等のサプライチェーン全体のリスクまで経営者が把握し統制する必要があるという考え方。サイバーセキュリティ経営ガイドラインの重要10項目にもサプライチェーン全体を含めたリスク管理が明記されており、委託先の選定基準・SLAを用いた品質担保・定期的な監査等は、情報セキュリティガバナンスの一環として経営者が責任を持つべき事項です。

中堅物流企業F社の取締役会で起きた議論を例に、経営管理とセキュリティガバナンスのつながりを見てみます。ある年、情報システム部門が「委託先のITベンダーで軽微なインシデントがあったが自部門で対応済み」と取締役会に事後報告したところ、社外取締役から「なぜ経営会議での事前把握・審議がなかったのか」という指摘が上がりました。この指摘は、セキュリティ対応を現場任せにせず経営者自身がリスクを認識し説明責任を負うという情報セキュリティガバナンスの欠如を突いたものでした。F社の取締役会はこれを機に、サイバーセキュリティ経営ガイドラインの「経営者が認識すべき3原則」(1.経営者はサイバーセキュリティリスクを経営リスクの一つとして認識し対策を推進する必要がある、2.自社は勿論のこと委託先も含めたサプライチェーンに対するセキュリティ対策が必要、3.平時からのステークホルダーとのコミュニケーションが必要)を改めて確認し、サイバーセキュリティ対策を単なるIT部門の経費ではなく経営投資として予算化する方針へ転換しました。あわせて、重要10項目のうち「サプライチェーン全体のリスク管理」に対応するため、委託先管理の仕組みを刷新し、主要な委託先とのSLAにセキュリティインシデントの報告義務・報告期限を明記させ、年1回の第三者監査結果の提出も契約要件に加えました。この一連の取り組みは、内部統制(業務プロセスの承認・モニタリング)やコーポレートガバナンス(取締役会による経営の監督)という既存の枠組みの中に、情報セキュリティガバナンスを明確に位置づけ直す試みであり、単発の技術対策では得られない経営レベルでの再発防止を実現しました。

4.4.3この節のまとめ

• 情報セキュリティガバナンス＝経営者主導で方針決定・資源配分・モニタリングを機能させる仕組み。コーポレートガバナンスの一部
• サイバーセキュリティ経営ガイドライン＝3原則＋重要10項目で、セキュリティを経営投資として捉える転換を促す
• 委託先管理はサプライチェーン全体のリスク管理として経営者の責任範囲に含まれる