サイバーセキュリティ経営ガイドライン：３原則と重要10項目

何を示すガイドラインか

「サイバーセキュリティ経営ガイドライン」は、経済産業省とIPAが策定した、経営者の主導でサイバーセキュリティ対策を進めるための指針です。この記事はVer3.0（2023年３月公開）を対象とします。

主な対象は、IT関連のシステム・サービスを提供する企業、または経営戦略上ITの利用が不可欠な企業の経営者です。本文は大企業と中小企業（小規模事業者を除く）を想定しています。ただし、デジタル技術を活用する企業やサプライチェーンでつながる企業は、規模を問わずサイバーセキュリティリスクを考慮する必要があると説明されています。

構成の中心は、経営者が理解する「３原則」と、CISO（最高情報セキュリティ責任者）等の担当幹部に指示する「重要10項目」です。経営者が方針、責任、予算、事業継続の判断を担い、担当幹部を通じて組織全体で実施します。

本記事は日本語版・公式英訳版のPDF本文と照合した要約です。重要10項目の見出しは原文の名称を使い、本文は要約、実践例は本記事で補足した例として記載しています。

対策は必要不可欠な投資であり、経営者の責務

第２章の原則１の解説では、経営者の責務を次のように示しています。

サイバーセキュリティ対策は企業活動におけるコストや損失を減らすための必要不可欠の投資であるとともに、対策の実施を通じてサイバーセキュリティに関する残留リスクを許容水準まで低減することは、経営者としての責務である。

出典：日本語版Ver3.0・第２章、原則１の解説。

サイバー攻撃による業務停止や情報漏えいは、売上、顧客との関係、復旧費用などに影響します。セキュリティ投資は、こうした事業への影響を抑えるための投資です。

残留リスクとは、対策を実施しても残るリスクです。経営者は、何をどこまで守るか、どれだけの損失や停止を許容できるかを判断し、必要な資源を確保する必要があります。許容水準を決める際は、所属業界のガイドラインや取引先からの要請も考慮します。

例えば、バックアップを取得していても復元できることを確認していなければ、長期間の業務停止というリスクが残ります。実務では、対策後のリスク、追加対策、受容する理由、承認者を記録して判断を明確にすると役立ちます。

経営者が認識すべき３原則

１．経営者がリーダーシップを発揮する

サイバーセキュリティリスクを企業のリスク管理に組み込み、経営者が対策を主導します。事業への影響を理解し、方針と投資の優先順位を決め、実施状況を確認します。

２．サプライチェーン全体に目を配る

国内外の拠点、取引先、委託先なども含めて対策を考えます。外部企業の被害が、自社の情報や業務に波及する可能性があります。対象は部品調達や直接の委託関係に限らず、クラウドサービス、APIによるシステム連携、機器の保守、記録媒体の廃棄なども含みます。自社の対策不足が他社への攻撃の足場となり、被害を広げる可能性もあります。

３．平時も緊急時も関係者と対話する

社内外の関係者と情報を共有し、協力して対策を進めます。事故発生後の連絡・説明に備えて、日常から関係を築くことが重要です。

出典：日本語版Ver3.0・第２章。

サイバーセキュリティ経営の重要10項目

経営者は、以下の事項をCISO等に指示し、報告を受け、必要な意思決定を行います。「指示」には、方針の検討、予算・人材の割当、実施結果の確認、問題への対応まで含まれます。

指示1：サイバーセキュリティリスクの認識、組織全体での対応方針の策定

サイバー攻撃が事業に及ぼす影響を理解し、組織全体の対応方針を策定・公表します。

実践例： セキュリティ基本方針に経営者の関与を明記し、他社事故を自社の事業に置き換えて経営会議で検討する。

出典：日本語版Ver3.0・第３章。

指示2：サイバーセキュリティリスク管理体制の構築

関係者の責任と権限を明確にし、全社のリスク管理・内部統制と整合する体制を構築します。

実践例： CISO等の責任者、事業部門、IT部門の役割と経営への報告経路を定める。小さな組織では兼任も含めて責任を明確にする。

出典：日本語版Ver3.0・第３章。

指示3：サイバーセキュリティ対策のための資源（予算、人材等）確保

リスクを許容できる範囲に抑えるための資源を確保し、役職員の業務に応じた教育を実施します。

実践例： 製品購入費に加えて、監視・運用・教育の継続予算を確保する。社内で不足する専門性は外部支援で補う。

出典：日本語版Ver3.0・第３章。

指示4：サイバーセキュリティリスクの把握とリスク対応に関する計画の策定

情報、サービス、デジタル環境を特定し、自組織と自社が提供する製品・サービスについて、攻撃、過失、内部不正による影響を評価します。対応計画を立て、対策後に残るリスクも確認します。

実践例： 重要システムの停止や顧客情報漏えいを想定し、対策の担当者・期限・優先順位を決める。保険や専門業者の利用も検討する。リスクの低減・回避・移転を検討し、実施しない対策も残留リスクとして明確にする。クラウドや保険の利用で自社のリスクがゼロになるわけではない。

出典：日本語版Ver3.0・第３章。

指示5：サイバーセキュリティリスクに効果的に対応する仕組みの構築

侵入の防止に加えて、内部での不審な活動を検知・分析できる仕組みを設け、事業環境やリスクの変化に合わせて見直します。

実践例： 多要素認証、権限制限、脆弱性対応、端末保護、ログ監視を組み合わせる。クラウド導入時は設定と責任分担を確認する。外部に監視等を委託する場合も、報告を理解して改善に反映する人材を社内に確保・育成する。

出典：日本語版Ver3.0・第３章。

指示6：PDCAサイクルによるサイバーセキュリティ対策の継続的改善

計画・実施・評価・改善を繰り返し、経営者への定期報告を通じて問題を早期に把握します。改善状況も適切に開示します。

実践例： 未解決の重大リスク、対策の遅延、訓練結果を経営会議で確認し、改善に担当者と期限を設定する。

出典：日本語版Ver3.0・第３章。

指示7：インシデント発生時の緊急対応体制の整備

制御系を含むサプライチェーン全体について、被害の把握、拡大防止、再発防止に対応できる体制を整備します。通知先と開示する情報を整理し、経営者自身が社内外に説明できるよう準備します。実践的な演習も必要です。

実践例： CSIRT（事故対応チーム）等の担当を決め、連絡網、隔離、証拠保全、経営報告の手順を整える。法務・広報・委託先も訓練に参加する。製品・サービスを提供する企業では、製品の脆弱性や事故に対応するPSIRT等の体制も検討する。

出典：日本語版Ver3.0・第３章。

指示8：インシデントによる被害に備えた事業継続・復旧体制の整備

事業への影響を踏まえて復旧目標、手順、体制を定め、BCP（事業継続計画）と整合させます。制御系やサプライチェーンも考慮して演習します。

実践例： 復旧の優先順位を定め、バックアップからの復元を検証する。システムだけでなく業務を再開できるか確認し、復旧前に再発防止の確認を行う。取引先の停止や通常の連絡手段が使えない状況も想定する。

出典：日本語版Ver3.0・第３章。

指示9：ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握及び対策

サプライチェーンの対策状況を把握し、契約で役割と責任を明確にします。共同実施や支援も検討します。

実践例： 重要な委託先を特定し、対策状況、事故連絡、再委託の管理を確認する。必要に応じて改善を支援する。

出典：日本語版Ver3.0・第３章。

指示10：サイバーセキュリティに関する情報の収集、共有及び開示の促進

攻撃や対策の情報を相互に共有する関係を築き、得た情報を対策に活用します。被害の報告・公表にも備えます。

実践例： 業界の情報共有活動に参加し、脆弱性情報を担当者へ伝える。情報を共有・公表する際の承認手順を定める。

出典：日本語版Ver3.0・第３章。

実務で使うための整理

原文では、重要10項目を次の５分類に整理しています。成果物欄は本記事による例です。重要10項目を、自社の担当者・成果物・確認時期に結び付けると、実施状況を管理しやすくなります。

分野	対応する指示	確認する成果物の例
方針・体制・資源	１〜３	基本方針、責任分担、予算・教育計画
リスク対応と改善	４〜６	リスク一覧、対応計画、評価・改善記録
緊急対応と復旧	７〜８	対応手順、連絡網、復旧計画、演習結果
サプライチェーン対策	９	委託先評価、契約、改善支援記録
関係者とのコミュニケーション	10	情報収集・共有・開示手順

最初に責任者を決め、事業に重要な情報・システムと停止時の影響を整理します。そのうえで、10項目の不足を確認し、改善の担当者、期限、予算を決めて経営者が進捗を確認します。

付録Aには、３原則と重要10項目を確認するチェックシートがあります。経営者とCISO等が一緒に確認し、未実施事項や理解の不足を把握するために活用できます。

公式資料と支援ツール

公式資料は公開されており、誰でも参照できます。

経済産業省の案内ページから、実践状況を評価する可視化ツールや、体制構築・人材確保の手引きにもアクセスできます。