IPAが2020年3月に公開した「企業のCISO等やセキュリティ対策推進に関する実態調査」（2019年度実施、回答534件）によると、CISO等に求められる役割は「経営層との橋渡し」が45.5%で最も多く、「セキュリティ対策の推進」が45.3%で続きました。課題として最も多かったのは「リスクの見える化が困難／不十分」の45.7%です。橋渡しを求められながら、橋の向こうに渡すべきリスクを見せにくい。CISOの立場の難しさがここに表れています。
この記事の要点
- IPAの調査では、CISO等に求められる役割は「経営層との橋渡し」が最多、課題は「リスクの見える化」が最多だった
- 経営ガイドラインは、CISO等が経営リスクの委員会に参加し、全事業領域を含む管理体制を作ることを例示している
- 事業部門を動かす根拠は、セキュリティの言葉ではなく、その部門の事業リスクの言葉で示すと通りやすい
調査に表れた「見える化」の壁
同じ調査では、ITが事業に不可欠でCISO等がいる組織のうち、セキュリティリスクの分析を行っていない組織が16.5%、分析していてもその結果を事業リスクの評価に役立てていない組織が30.7%ありました。事業リスクの評価につなげられていない組織が半数近くある、と報告書の概要は書いています。調査は2019年度のものですが、リスクを事業の言葉に置き換える難しさは、いまも多くの組織に共通しています。
ガイドラインが描くCISOの位置
経済産業省とIPAの「サイバーセキュリティ経営ガイドライン Ver3.0」は、経営者が認識すべき3原則の1つ目で、サイバーセキュリティリスクを多様な経営リスクの1つとして位置づけ、責任者となる担当幹部（CISO等）を任命することを求めています。指示2の対策例には、次の記述があります。
- CISO等は、組織内の全ての事業領域を包含したリスク管理体制を構築し、それぞれの役割の責任範囲を明確にする
- CISO等が、組織内に設置された経営リスクに関する委員会に参加する
- 取締役、監査役は、リスク管理体制が適切に構築、運用されているかを監査する
CISOの権限は、肩書きだけでは生まれません。経営リスクの委員会に席があり、全事業領域が管理体制の対象に入っていて、その運用を取締役や監査役が確かめる。この3つがそろって、初めて事業部門に対して言える立場になります。
事業部門を動かす根拠の持ち方
事業の数字
その部門のシステムが止まった日数と損失、復旧の費用。部門の売上計画に直結する言葉で示す。
外部の基準
ガイドライン、業界の基準、取引先からの要求。自社だけの判断ではないことを示す。
経営の決定
経営リスクの委員会で決めた方針。CISO個人の意見ではなく、会社の決定として伝える。
「セキュリティのため」という言葉だけで動く事業部門は多くありません。部門が自分の数字として受け取れる形で示すと、優先順位の議論に乗せられます。
拠点とグループ会社の状況を、報告できる形にする
CISOが全事業領域を見ようとすると、拠点や中小規模のグループ会社の状況がいちばん見えにくくなります。当社の透過型UTM「ForceUTM」は、稼働状況と遮断・検知の結果を毎月日本語のレポートにまとめて配信します。ForceJOSYSは、オフィスのLANを観測して端末台帳を育て、異常時には原因候補と次の行動を証拠付きの調査票にまとめます。拠点の状況を、本社へ報告できる形で集める手段です。
参考資料
拠点の状況を報告できる形で集める
拠点や中小規模のグループ会社のセキュリティ状況を、本社へ報告できる形で集める方法をご相談ください。
製品の詳細はForceUTMのサイト、ForceJOSYSのサイトでご覧いただけます。
まずは相談する相談無料・