最終更新日：
CISOとは、会社の情報セキュリティについて、方針の決定から体制づくり、事故への対応までを経営の立場で受け持つ責任者です。
CISOは Chief Information Security Officer の略です。守るべき情報とリスクを経営の言葉で整理し、対策の優先順位と予算を決め、社内の規程や教育、委託先の管理、事故のときの判断と社外への説明までを受け持ちます。技術の詳しさに加えて、経営や事業の部門と話し合える立場であることが求められます。
大きな会社では専任の役員を置くこともありますが、中小企業では、CIOやCTO、管理部門の役員が兼ねることも多くあります。兼務の場合でも、誰がセキュリティの最終的な判断をするかを決めておくと、事故のときの対応が速くなります。
社内に専門の人材がいない場合は、外部の専門家の助言を受けながら、方針の決定や取締役会への報告を進める方法もあります。インシデント対応の体制（CSIRT）や、内部監査との役割の分け方も合わせて決めておきます。
関連する用語
- CIO・CTOCIOは会社の情報システムとIT戦略、CTOは製品やサービスを支える技術に責任を持つ役員を指す言葉です。
- 情報セキュリティ情報の機密性・完全性・可用性を保ち、漏えいや改ざん、使えなくなることを防ぐ取り組みです。
- CSIRTセキュリティの事故が起きたときに、社内で情報を集めて判断し、対応の中心となる組織です。
- ITガバナンスITの活用を経営の目標と結びつけ、投資・リスク・成果を、経営者や取締役会が方向づけ、見届ける仕組みです。