サイバーセキュリティ経営ガイドラインの要点。経営者がすること

サイバーセキュリティ経営ガイドラインとは、経済産業省とIPA（独立行政法人 情報処理推進機構）が、サイバー攻撃から会社を守るために経営者が果たす役割をまとめた指針です。2023年3月のVer3.0では、経営者が認識する「3原則」と、対策を担う幹部（CISOなど）に指示すべき「重要10項目」で構成されています。経営者がすることは、技術の細部を自ら扱うことではなく、方針と体制と資源を決め、報告を受けて進み具合を確かめることだと整理できます。

ガイドラインは、誰のための文書か

サイバーセキュリティ経営ガイドラインは、経営者のための文書です。対策の手順書ではなく、経営者が何を認識し、担当の幹部に何を指示し、何を確かめるべきかを示しています。Ver1.0は2015年、Ver2.0は2017年に公表され、Ver3.0は2023年3月に公表されました。

Ver3.0では、Ver2.0の3原則と重要10項目という基本の構成は保ったまま、テレワークなど働き方の多様化、制御系を含むデジタル基盤への対象の広がり、ランサムウェアによる事業停止のリスクの顕在化、サプライチェーンを通じた被害の拡大などの環境の変化を反映して、記載が見直されました。

出典：「サイバーセキュリティ経営ガイドライン Ver 3.0」の改訂ポイント（経済産業省、2023年3月24日）

経営者向けの文書ではありますが、中小企業の方がはじめて取り組む場合は、IPAの「中小企業の情報セキュリティ対策ガイドライン」から入るほうが手を付けやすいことが多いです。その使い方は「中小企業の情報セキュリティ対策ガイドライン」の使い方で説明しています。

経営者が認識する3原則とは

3原則とは、経営者がサイバーセキュリティに向き合うときの前提となる、3つの考え方です。経済産業省の改訂ポイントの資料によると、要旨は次のとおりです。

1. サイバーセキュリティのリスクを経営リスクの重要な課題と位置づけ、経営者がリーダーシップをとって対策を進める
2. 自社だけでなく、国内外の拠点、取引先、委託先、クラウドサービスなどを含めたサプライチェーン全体に目を配る
3. 平時と緊急時のいずれにおいても、効果的な対策のために、社内外の関係者と積極的にコミュニケーションをとる

1つ目は、セキュリティを情報システム部門の仕事として任せきりにせず、経営の判断の対象として扱うということです。2つ目は、取引先や委託先が攻撃の入口になる例が増えていることを受けたものです。取引先を経由する攻撃への備えは、サプライチェーンのセキュリティ。取引先を経由する攻撃への備えで扱っています。3つ目は、事故が起きてから慌てて連絡先を探すのではなく、平時から相談の相手と連絡の経路を決めておくことを指しています。

重要10項目には、何が書かれているか

重要10項目とは、経営者が、セキュリティ対策を担う幹部に指示すべき事項を10にまとめたものです。項目の名前は次のとおりです。

出典：「サイバーセキュリティ経営ガイドライン Ver 3.0」の改訂ポイント（経済産業省、2023年3月24日）

10の項目は、まとまりで見ると理解しやすくなります。指示1〜3は方針・体制・資源という土台づくり、指示4〜6はリスクの把握と対策の仕組み、それを回し続けること、指示7・8は事故が起きたときの対応と事業の継続、指示9・10は取引先と社外との関係です。

経営者は、何を自ら決めるのか

経営者が自ら決めることは、方針、体制、予算と人材の3つです。重要10項目の指示1〜3に当たります。

• 方針：どの情報とどの業務を守るのか、どこまでのリスクなら受け入れるのかを、経営の言葉で示します
• 体制：誰がセキュリティの責任者なのか、経営会議や取締役会にどの経路で報告が上がるのかを決めます。専任の担当を置けない会社では、兼務の責任者と、外部の専門家の使い方を決めておく形もあります
• 予算と人材：対策と運用に必要な費用と人を、計画に見合う形で確保します

この3つは、担当の幹部の判断だけでは決めにくいものです。予算と人員が足りないまま「対策を進めておくように」と指示しても、進まないことが多いと考えられます。

経営者は、何を報告で確かめるのか

指示4〜10は、担当の幹部が進め、経営者は報告を受けて確かめる領域です。報告の場で問いかけたいことの例を挙げます。

• リスクの把握と計画（指示4）：守るべき情報と止められない業務の一覧はあるか。優先して手当てするものは決まっているか
• 仕組みと改善（指示5・6）：計画した対策は進んでいるか。前回の報告から何が変わったか
• 事故への対応（指示7）：事故が起きたときの連絡と判断の手順はあるか。訓練したことはあるか（セキュリティ事故に備える、初動の手順書のつくり方）
• 事業の継続（指示8）：システムが止まったときに、業務をどう続け、どのくらいで戻すかを決めているか（ITのBCP。システムが止まっても業務を続けるために）
• サプライチェーン（指示9）：重要な委託先と取引先を把握し、管理の状態を確かめているか
• 情報の共有と開示（指示10）：社外の情報をどこから集めているか。事故のときに誰に何を伝えるかは決まっているか

報告の形は、技術の用語の羅列ではなく、「どのリスクに対して、何が済んでいて、何が残っているか、いつまでに何をするか」が分かる一覧にしてもらうと、判断しやすくなります。取締役会や監査役の立場から確かめたい問いは、取締役会・監査役が確かめたいITのリスクで整理しています。

実践するときの参考になる資料は

ガイドラインを実際の取り組みに落とし込むときは、IPAの「サイバーセキュリティ経営ガイドライン Ver 3.0 実践のためのプラクティス集」が参考になります。第4版は2023年10月31日に公開され、経営層向けの教育、可視化ツールによるリスクの把握、委託の範囲の明確化、インシデント対応の演習などの取り組み方が加えられています。

出典：サイバーセキュリティ経営ガイドライン Ver 3.0 実践のためのプラクティス集 第4版 改訂履歴（IPA）

すべての項目を一度に整える必要はありません。土台の指示1〜3を決めたうえで、事故への対応と事業の継続（指示7・8）を先に固め、そのほかを年ごとの計画で進める会社が多いと考えられます。

当社のご支援

アメリア・テクノロジーのセキュリティ診断と対策では、現状の洗い出しから、方針・規程・体制の整備、事故が起きたときの連絡と手順の準備、社員の訓練までをご支援しています。取締役会への報告などを目的に、管理の状態を第三者の立場で確かめたい場合は、システム監査もお受けしています。何から手を付けるかを整理したい段階では、無料のセキュリティの自己診断や、30分の無料のご相談（お問い合わせ）をお使いください。