2015年12月28日に経済産業省と独立行政法人 情報処理推進機構（ IPA ）が、「サイバーセキュリティ経営ガイドライン」を策定し、公表しました。今回はこのガイドラインの概要や活用方法について紹介します。

国のサイバーセキュリティ戦略を基に打ち出された経営者向けガイドライン

「サイバーセキュリティ経営ガイドライン」 概要

また概要の中では、ガイドラインの対象を定義しており、「大企業及び中小企業（小規模事業者を除く）」の中で、「ITに関するシステムやサービス等を供給する企業及び経営戦略上ITの利活用が不可欠である企業の経営者」と明記しています。多くの企業は事業内容やサプライチェーンとしての役割の中で対象となることを考慮する必要があります。

「はじめに」以降は経営者の指示を受けて実際にCISOやセキュリティ担当者が対応すべき内容の解説や対策を実践する上での対策例などが記載されています。また付録については、ガイドラインに対応したチェックシートや具体的な技術対策例などの参考情報が盛り込まれています。

「サイバーセキュリティ経営ガイドライン」 詳細

ここからは内容の詳細について見ていきます。本ガイドラインでは「3原則」と「重要10項目」の2つの内容が中心となっています。

「3原則」はサイバーセキュリティに対して経営者が認識すべき内容として、(1)セキュリティ対策におけるリーダーシップの発揮、(2)サプライチェーンを含めた事業体全体を見渡した対応の実施、(3)情報開示・共有などの適切なコミュニケーション、が記載されています。

「重要10項目」はサイバーセキュリティ対策を実施する上での責任者となる担当幹部（CISO など）に指示すべき10の項目が４つのカテゴリに分かれおり、各項目にはそれぞれ「項目内容に関する問題の提起」と「対策を怠った場合のシナリオ」、「その対策例」が記載されています。また付録Aのチェックシートや、付録Bの参考文献や対策例と合わせて使用することで、各企業での対策検討や課題整理など、さまざまな活動の中で活用できるものになっています。またサイバーセキュリティ対策は、事業環境の変化や各企業の状況により常に変更されるものであり、それぞれに合った対策を行うこととしています。

サイバーセキュリティ経営ガイドライン 3原則

サイバーセキュリティ経営ガイドライン 重要10項目

「サイバーセキュリティ経営ガイドライン」の活用にむけて

ここまで「サイバーセキュリティ経営ガイドライン」の内容について見てきました。本ガイドラインは経営者がサイバーセキュリティリスクというものを把握、理解するためにまとめられたものです。

ガイドラインには重要10項目の対応を確認するためのチェックシートが付属しています。まずはそれを用いて自社の状況をチェック、検証を行うことから始めてみてください。

NECでは、今回の「サイバーセキュリティ経営ガイドライン」の内容を踏まえた上で、それぞれのお客様に合ったサイバーセキュリティ対策ソリューション・サービスを提供します。またこれまでNECが培ってきたサイバーセキュリティに関するノウハウや経験を基に、課題検討やリスク分析など、さまざまな部分でお客様を力強くサポートします。