情報セキュリティガバナンスとは
Section titled “情報セキュリティガバナンスとは”情報セキュリティガバナンスとは、経営が情報を守る方向性・責任・意思決定の仕組みを定め、対策が事業目的に沿って機能しているかを監督することです。 対象はシステムだけでなく、紙の書類、従業員の行動、委託先、クラウドサービスも含みます。
例えば顧客情報をクラウドに保存する際、「どの情報を預けてよいか」「残るリスクを誰が受け入れるか」「事故時に誰がサービス停止を決めるか」を決めるのがガバナンスです。共有設定やアクセス権を設定し、日々確認するのがマネジメントです。
ガバナンス・マネジメント・コンプライアンス
Section titled “ガバナンス・マネジメント・コンプライアンス”| 概念 | 主な役割 | クラウド利用の例 |
|---|---|---|
| ガバナンス（統治） | 方向性を決め、権限・資源を与え、結果を監督する | 許容するリスクと重大事項の承認者を決める |
| マネジメント（管理） | 方針を具体化し、計画・実行・評価・改善する | 利用審査、設定、監視、権限棚卸を行う |
| コンプライアンス | 適用される法令・契約・内部ルールに従う | 契約上のデータ取扱条件を確認する |
経営がすべての作業を承認する必要はありません。日常の判断は委任し、重大なリスクや予算不足を経営へ上げる基準を定めます。小規模組織では役割を兼務できますが、実施者が自分の例外申請や点検結果を無条件に承認する構造は避けます。
誰が何を決めるか
Section titled “誰が何を決めるか”次の体制は一例です。役職名よりも、決定権限・報告先・代理者が明確であることが重要です。
| 役割 | 責任・判断 | 残すもの |
|---|---|---|
| 経営層・取締役会等 | 方針、リスク許容方針、重要投資、重大な残余リスクを承認し、対策を監督する | 承認記録、議事録、改善指示 |
| 情報セキュリティ責任者（CISO等） | 全体計画と規程を整備し、部門間を調整して経営へ報告する | 対策計画、リスク集計、報告書 |
| 情報・業務の責任者 | 情報を分類し、業務への影響と権限の必要性を判断する | 資産台帳、権限承認、リスク対応方針 |
| IT・運用担当者 | 基準に沿って実装・運用し、不備を報告する | 設定記録、作業履歴、点検結果 |
| 従業員・対象となる委託先 | 取扱ルールを守り、事故や疑いを報告する | 教育記録、申請、事故報告 |
| 監査・独立した確認者 | 運用の有効性を確認し、是正の完了を検証する | 監査結果、是正確認記録 |
委託先には、契約・審査・定期確認を通じて要求事項を伝えます。自社の方針を作っただけで、相手方に義務が生じるわけではありません。
どのようなドキュメントが必要か
Section titled “どのようなドキュメントが必要か”必要な文書は、扱う情報と業務リスクから決めます。以下は整備する機能の目安であり、必ず独立したファイルに分けるという意味ではありません。
| 文書・記録 | 何を明確にするか | 小規模組織での始め方 |
|---|---|---|
| 基本方針 | 保護の目的、経営の約束、適用範囲 | 1〜2ページ程度にまとめる |
| 管理規程 | 責任、承認、必須ルール、報告・例外の仕組み | 共通の規程1冊にまとめる |
| 基準 | 分類、権限、端末、ログ等の具体的な要件 | 規程の別紙として管理する |
| ガイドライン | 判断の補助、推奨行動、事例 | 迷いやすい業務を優先する |
| 手順書 | 誰が何をどう実行・確認するか | 入退社、事故報告、復元から整備する |
| 資産台帳・リスク台帳・対策計画 | 守る対象、リスク、対応者、期限 | 共通の管理表で追跡する |
| 適用要求事項一覧 | 法令・契約・顧客要求と担当者 | 要求、適用理由、対応文書を対応付ける |
| 運用・承認・監査の記録 | 実施した事実、結果、残る課題 | 申請システムや点検表に残す |
個人情報保護、委託先管理、業務継続計画（BCP）、開発・変更管理の既存文書があれば参照し、二重管理を避けます。新しい文書を増やすより、責任と実施証跡をつなぐことが大切です。
経営が確認する指標と判断の例
Section titled “経営が確認する指標と判断の例”「事故ゼロ」だけでは、見逃しや未報告を判断できません。対象数・期限・業務影響を含めて確認します。
| 指標の例 | 確認・判断すること |
|---|---|
| 重要サービスのMFA適用数／対象数 | 未対応のサービス、原因、代替策、解消期限 |
| 期限超過の高リスク課題数 | リスク責任者、追加予算、業務停止を含む判断 |
| 復元試験の成功数／実施数と所要時間 | 重要業務の復旧目標を満たすか |
| 例外承認の件数・期限切れ数 | 一時的な例外が常態化していないか |
| 事故の検知から報告・初動までの時間 | 連絡体制や対応権限に不足がないか |
例えば「重要サービス20件中18件にMFA適用、残り2件は機能不足」という報告なら、経営は移行費用、利用制限、期限付き例外を判断できます。定例報告は四半期ごと等とし、重大事故や許容範囲を超えるリスクは定例を待たず報告する、といった運用を定めます。
導入の進め方
Section titled “導入の進め方”- 重要な業務・情報・サービスと、法令・契約上の要求を整理する。
- 漏えい・改ざん・停止の影響を評価し、優先して対応するリスクを決める。
- 責任者・承認権限・報告経路を定め、基本方針を承認する。
- 規程・基準・手順と実施記録を整備し、教育して運用する。
- 点検・監査・事故・経営報告の結果から、対策と文書を改善する。
NIST CSF 2.0では、Governを含む6つの機能でサイバーセキュリティリスクを整理します。Governは、戦略・役割・方針・監督などを扱います。サイバー領域の参考枠組みとして活用し、紙や口頭の情報も扱う自組織の情報セキュリティ全体に合わせて補います。NIST：CSF 2.0 FAQ
- IPA：中小企業の情報セキュリティ対策ガイドライン — 経営者編・実践編と文書サンプルを参照できます。
- 文書の策定・承認・見直し — 文書を運用へつなげる具体的な流れ。