4.4経営管理とセキュリティガバナンス

これまでの章では現場の対策・管理策を中心に学びましたが、本節では視座を上げ、経営者がセキュリティにどう責任を持ち、統治(ガバナンス)するかを扱います。SGの学習の締めくくりとして、個別の対策が経営の意思決定とどうつながるかを理解します。

4.4.1情報セキュリティガバナンスとコーポレートガバナンス

• 情報セキュリティガバナンス＝経営者が主導して、情報セキュリティに関する方針決定・資源配分・モニタリングを組織全体で機能させる仕組み。現場任せにせず、経営者自身がリスクを認識し説明責任を負う点が中核です。ISMS(第2章)が「どう運用するか」の仕組みであるのに対し、ガバナンスは経営者がその仕組みを機能させる責任を持つという一段上の視点です。
• コーポレートガバナンス（企業統治）＝株主・取締役会等が経営者の経営を監督し、経営の透明性・健全性を確保する仕組み。情報セキュリティガバナンスは、このコーポレートガバナンスの一部（IT・セキュリティ領域における具体化）と位置づけられます。内部統制(本章s2)は、経営者が業務の適正性を確保するために整備・運用する仕組みであり、コーポレートガバナンスを支える構成要素の1つです。

4.4.2サイバーセキュリティ経営ガイドラインと委託先管理

• サイバーセキュリティ経営ガイドライン＝経済産業省・IPAが策定した、経営者がリーダーシップを発揮してサイバーセキュリティ対策を推進するための指針。「経営者が認識すべき3原則」と「セキュリティ対策を実施する上での重要10項目」から構成され、サイバーセキュリティをコスト（経費）ではなく経営投資として捉える発想の転換を経営者に促す点が特徴です。
• 委託先管理＝自社のセキュリティ対策だけでは不十分で、業務委託先・クラウド事業者等のサプライチェーン全体のリスクまで経営者が把握し統制する必要があるという考え方。サイバーセキュリティ経営ガイドラインの重要10項目にもサプライチェーン全体を含めたリスク管理が明記されており、委託先の選定基準・SLAを用いた品質担保・定期的な監査等は、情報セキュリティガバナンスの一環として経営者が責任を持つべき事項です。