サイバーセキュリティ経営ガイドラインとは

サイバーセキュリティ経営ガイドライン

サイバーセキュリティ経営ガイドラインとは、近年のサイバー攻撃の増加に伴い、セキュリティ対策を、経営者自らがリーダーシップをとって進めるべく課題として捉えたものです。

セキュリティ対策の実施を「コスト」と捉えるのではなく、事業活動に必須な「投資」と捉えることが重要で、セキュリティ投資は必要不可欠かつ経営者としての責務と考えるべきとされています。

経営者自らがサイバー攻撃のリスクを認識し、リーダシップを取ってセキュリティ対策を進めることです。これは、セキュリティ対策のためには、全社的な責任者の任命や体制の構築、情報システムへの投資などが必要になるためです。

自社のセキュリティ対策の他、協業先や委託先も含めたサプライチェーンに対するセキュリティ対策が必要です。これは、いくら自社のセキュリティ対策を万全にしても、サプライチェーンが脆弱であれば、その脆弱性を起点として自社まで影響が及ぶためです。

平時と緊急時のいずれにおいても、サイバーセキュリティリスクや対策に係る情報開示など、関係者との適切なコミュニケーションが必要です。特に緊急時における情報開示の遅れは、企業に対しての不信感を高め、社会的信頼を損なってしまう可能性があります。

サイバーセキュリティのリスクを経営リスクの１つとして認識し、組織全体での対応方針（セキュリティポリシー）を策定させる必要があります。

セキュリティ対策を行うためには、セキュリティリスクの管理の責任者（CISO：最高情報セキュリティ責任者）を任命し、体制を構築し、各関係者の責任の明確にさせる必要があります。

セキュリティ対策を実施するために、予算確保とサイバーセキュリティ人材の育成を実施する必要があります。

守るべき重要情報を特定させた上で、サイバー攻撃の脅威や影響度からセキュリティリスクを把握し、リスクに対応するための計画を策定させる必要があります。

セキュリティリスクに対応するための保護対策（防御・検知・分析に関する対策）を実施する体制を構築させる。

計画を確実に実施し改善していくため、サイバーセキュリティ対策をPDCA（Plan・Do・Check・Action）サイクルとして実施させる必要があります。

セキュリティインシデントが発生た場合の初動対応や再発防止策の検討を実施するため、インシデント対応体制（CSIRT等）を整備させる必要があります。

セキュリティインシデントにより業務停止等に至った場合、復旧に向けた手順書の策定や、体制を整備をさせる必要があります。

一連のセキュリティ対策について、系列企業、サプライチェーンを含めた運用をさせる必要があります。

最新のサイバー攻撃に対応した対策が行えるよう、サイバー攻撃に関する情報提供や情報入手を積極的に行わせる。