1．1．サイバーセキュリティ経営ガイドラインの背景と位置づけ 近年、企業が有する個人情報や重要な技術情報等を狙うサイバー攻撃は増加傾 向にある （ 図1 ） 。 サイバーセキュリティ経営ガイドラインVer1.1／17ページより引用 「重要情報の取り扱いに関する規定や管理体制」も本来セキュリティポリシーなのですが、なぜか別の扱いとされています。ではここで言うセキュリティポリシーはどの段階なのでしょうか。 つまり、解説書の文言のまま「基本方針にはサイバーセキュリティリスク管理が含まれています」と表現してしまうことは間違いです。基本方針には、そのような記載は出てきません。“会社法に定められている以上必要”と相応の対策を求めることは正しいのですが、解説書の文言のまま経営陣へ提案することは少し危険です。次に、責任の所在についての注意点です。委託先が漏洩を起こした場合の責任の所在について、解説書では下記の様に書かれています。“委託先のミスに巻き込まれた”など、自分たちに責任は無いといった認識では、情報の所有者（提供者）である世間から一斉に非難されることとなりますので、十分に注意しましょう。この表記は問題です。「委託元“も”～」と書かれていることにより、責任の“主体”が委託先にあるように感じられます。情報の所有者は、委託元へ情報を「提供」しています。所有者（＝提供者）が、委託元を信頼し、情報を預けているのです。つまり、責任の主体は委託元なのです。内部統制とは、経営に影響を与えるようなリスクに対し適切な管理を要求することで、この中に「サイバーセキュリティリスク管理」が含まれているという解釈が本来正しいものです。今の時代にサイバーセキュリティリスクをそのままにしておけば、経営に重大な影響を与えることも十分あり得ますからね。これに対し、今回の改訂では「セキュリティ投資に対するリターンの算出はほぼ不可能」など、リスクマネジメントの概念を根底から覆すような誤りは削除されましたので、一応“整合性”は取れるものになったと言えるでしょう。CyberSecurity.com All Rights Reserved.企業が参考にする際、注意すべき点をまとめていきたいと思います。このような現状に対し、今回の改訂版では同時に「サイバーセキュリティ経営ガイドライン解説書（以下解説書）」が発表されました。しかし、残念ながらこの解説書については、事実誤認や誤解を招く表現が散見されています。あくまでも、会社法が定めている「内部統制」の中に、サイバーセキュリティリスク管理が含まれているということです。メルマガ登録で、下記内容の「情報漏洩セキュリティ対策ハンドブック」プレゼント改訂版及び解説書に関しては、まだまだ注意すべき表現がありますので、次回もこの内容を引き続き解説していきたいと思います。今回は、解説書で誤解の生じやすい「会社法との関係」と「責任の所在」について考えました。2015年12月に発表されたVer1.0は、“滑り込み”で発表されたこともあり、内容に問題点も多く非常に解りにくいものでした。会社法の362条４項６号では、取締役会の決議事項として「内部統制」の要求を定めています。これは、NISCの出した「企業経営のためのサイバーセキュリティの考え方の策定について」から引用してきた文言かと思われますが、サイバーセキュリティリスク管理が取締役会の決議事項であるべきケースは、次のような理由に因ります。しかし、各説明について“構成”から見直したわけではありませんので、「本当に解りやすいか」と問われると疑問が残ります。具体的で解りやすい「中小企業の情報セキュリティ対策ガイドライン」と比べた場合、実用性の面で劣るのは明確です。今回は、臨時コラムとしてサイバーセキュリティ経営ガイドラインVer1.1の改訂版・解説書について考えてみたいと思います。情報漏洩の場合、あくまでも最初に提供を受けた、委託元“が”責任を負うのです。解説書の記載のように「委託元“も”責任を問われる」といった生易しいものではありません。 CISO. 1．1．サイバーセキュリティ経営ガイドラインの背景と位置づけ 近年、企業が有する個人情報や重要な技術情報等を窃取したり、企業のシステム を停止させたりするサイバー攻撃の件数は増加傾向にあり、約4割の企業がサイバ 2016年12月8日「サイバーセキュリティ経営ガイドライン」の改訂版と解説書が発表されました。 サイバーセキュリティ経営ガイドライン解説書／IPA（情報処理推進機構） 今回は、臨時コラムとしてサイバーセキュリティ経営ガイドラインVer1.1の改訂版・解説書について考えてみたいと思います。 経済産業省では、独立行政法人情報処理推進機構（ipa）と協力し、経営者がリーダーシップを取ってサイバーセキュリティ対策を推進するための指針となる、「サイバーセキュリティ経営ガイドライン」を平成27年12月に策定し、その普及を行ってまいりました。 課題を踏まえて3原則を維持しつつ、基本構成を見直し。 2．経営者が. 1．1．サイバーセキュリティ経営ガイドラインの背景と位置づけ 近年、企業が有する個人情報や重要な技術情報等を窃取したり、企業のシステム を停止させたりするサイバー攻撃の件数は増加傾向にあり、約4割の企業がサイバー 1 企業経営のためのサイバーセキュリティに関する基本的な考え方については、内閣官房 内閣サイバーセ キュリティセンター（nisc）が策定した「企業経営のためのサイバーセキュリティの考え方」（2016年8 月2日）参照。 サイバーセキュリティ経営ガイドライン. ipa（独立行政法人情報処理推進機構）は、2015年12月に経済産業省と共同で策定した「サイバーセキュリティ経営ガイドライン」 (*1) の普及と実践に向けて、ガイドラインの内容を補足し、実施方法を具体的に解説する「サイバーセキュリティ経営ガイドライン解説書」を公開しました。 1 . 2016年12月8に発表された「サイバーセキュリティ経営ガイドラインVer1.1（改訂版）」及び解説書への注意喚起第三回目の本日は、改訂版で示す「経営マネジメント」や「ISMS」に対する考え方の間違い
IoTセキュリティガイドライン ver 1.0 平成 28年 7月 ... 平成27年9月に閣議決定されたサイバーセキュリティ戦略においても、IoT機器やシステム、サービス ... 要点1. ipa（独立行政法人情報処理推進機構）は、2015年12月に経済産業省と共同で策定した「サイバーセキュリティ経営ガイドライン」 (*1) の普及と実践に向けて、ガイドラインの内容を補足し、実施方法を具体的に解説する「サイバーセキュリティ経営ガイドライン解説書」を公開しました。 サイバーセキュリティ経営ガイドラインVer1.1／17ページより引用 「重要情報の取り扱いに関する規定や管理体制」も本来セキュリティポリシーなのですが、なぜか別の扱いとされています。ではここで言うセキュリティポリシーはどの段階なのでしょうか。 1．経営者が認識すべき3原則 現場の立場を優先するのであれば、CISOを置く必要はありません。現場の責任者の権限を強めれば良いことです。ですが、その体制だと現場の効率が優先され、重大なセキュリティホールが野放しになる可能性も孕むのです。もちろん、現場の立場を“理解する”ことは必要です。それでも、現場の負担があったとしても、やらなければならないことは敢然と実施するのがOfficerたるCISOの職務です。基本的な用語の理解や、要求事項に関して誤解があっては、サイバーセキュリティ対策のみならず全体のマネジメントにも影響を与えかねませんので注意が必要です。最後に、51ページ「内部監査と外部監査」に関して問題のある表現を指摘しておきます。こちらでは下記の一文が記載されています。ISMSは企業規模を問わず使えるフレームワークです。“外部監査を受けないと審査が受けられない”ような表現を使われると、「大手企業しか取れないのか」との誤解を受けかねません。それは、ISMSの目的と精神に著しく反することですので、一コンサルタント、一審査員としても、厳しく指摘しておきたいところです。改訂版29ページの「（1）情報セキュリティマネジメントシステムとの関係」にこんな一文があります。重大な変化があれば、その都度レビューしてPDCAサイクル見直しなさいと推奨しているのです。最初の「現場と経営層を繋ぐ通訳になること」というのは良いのですが、最後の一文が問題です。ISMSにはこの様な想定はありません。ISMSを理解していないコンサルタントや審査員が想定しているだけではないでしょうか。改訂版25ページに、CISO等に求められることが記載されています。しかしこれでは“どうすれば正しくサイバーセキュリティ経営が進められるのか”が益々混乱してしまうかもしれません。続いて、ISMS（ISO27001）の説明の間違いがありますので、指摘しておきます。あらかじめ定めた間隔で、又は重大な変化が生じた場合に、独立したレビューを実施しなければならない。CISOとはChief Information Security Officerです。Officer（役員）が“現場の立場で支援しいたらダメですよね。CyberSecurity.com All Rights Reserved.今のサイバーセキュリティのスピードで、本当に1年や半年に一度しかレビューを行っていないのなら、それはISMSの有効性に疑義があるレベルなのです。ですから、ISMSはそもそも1年や半年に一度しかPDCAサイクルが回らないなどということは想定しておりません。事業部門等の現場から手間が掛かる等の理由で反発を招かないように、現場の立場で支援するというスタンスが求められます。全3回にわたって「サイバーセキュリティ経営ガイドライン解説書」の問題のある部分を指摘させていただきました。かつて2005年版では「少なくとも年1回」という文言がありました。ISMSでは十年以上前から年1回でも厳しいと取れるように書いてあったのです。現在の版ではこの文言すら無くなっています。そこで、次回からは「ISMS観点から見たサイバーセキュリティ経営ガイドラインの望ましい進め方」について解説をしていきたいと思います。これは、48ページの「フレームワーク（PDCA）のサイクル」においても同様です。現場の状況を理解したうえで、それでも必要とあらば毅然とした行動が取れること。それがCISO等に求められることです。メルマガ登録で、下記内容の「情報漏洩セキュリティ対策ハンドブック」プレゼントISMSの審査時には外部監査を受けることが義務付けられています。もちろん、外部監査は推奨します。やれるならやった方が良い。ですが、外部監査はお金のかかることです。また、監査方法によっては別のリスクが発生します。企業の業種や規模によっては、「やる必要がない」「やらない方が良い」というケースが生じます。さらに、附属書A管理目的及び管理策のA18.2.1情報セキュリティの独立したレビューでは、下記の記述があります。サイバーセキュリティの対策は、ISMSで想定している1年や半年のPDCAサイクルでは対応できない。2016年12月8に発表された「サイバーセキュリティ経営ガイドラインVer1.1（改訂版）」及び解説書への注意喚起第三回目の本日は、改訂版で示す「経営マネジメント」や「ISMS」に対する考え方の間違いについて取り上げたいと思います。