セキュリティ対策は、リスク回避だけでなく、企業の価値と信頼を守るためにも重要な対策です。ここでは、セキュリティ対策を万全に行うために、「サイバーセキュリティ経営ガイドライン」の概要と、実施に当たり押さえておくべきポイントをご紹介します。
目次
サイバーセキュリティ経営ガイドラインとは
サイバーセキュリティ経営ガイドラインの概要と、発表されるに至った経緯について見てみましょう。
サイバーセキュリティ経営ガイドラインの概要
サイバーセキュリティ経営ガイドラインとは、2014年に制定されたサイバーセキュリティ基本法にもとづき、経営者向けにサイバーセキュリティの基本的な考え方についてまとめたものです。経済産業省と情報処理推進機構（IPA）によって取りまとめられ、2015年に発表されました。
2015年以降も改訂が進められており、最新版は2017年に発表されたVer2.0です。
ガイドラインが発表された背景
サイバーセキュリティ経営ガイドラインの発表によると、サイバー攻撃の被害は年々増加傾向にあり、約4割の企業が何らかの形で攻撃を受けています。さらに標的型攻撃などの巧妙な手口により、侵入されていることに気づかぬまま情報を抜き取られているケースも多いと予測されています。
こうした被害を受けないために、サイバーセキュリティ経営ガイドラインに則った対策が必要です。ガイドライン自体に法的拘束力はありませんが、経営リスク回避のために、積極的に対策に取り組んでいきましょう。
サイバーセキュリティ経営ガイドラインの内容
サイバーセキュリティ経営ガイドラインは、経営者が認識すべき3つの原則と、セキュリティ責任者に指示すべき10の重要項目から成り立っています。
経営者が認識すべき3原則
- 経営者のリーダーシップ
- 関連企業も含めたセキュリティ対策
- 関係者との適切な情報共有
経営者が認識しておく必要があるのは以上の3原則です。セキュリティ対策は経営にも関わる問題だと理解し、自社のみならず取引先や委託先も含めたセキュリティリスク管理を徹底する必要があります。そして、平常時と緊急時のどちらにでも適切な対応をとれるように、セキュリティ対策の情報を関係者間で共有することも重要です。
重要10項目
- サイバーセキュリティリスクの認識、組織全体での対応方針の策定
- サイバーセキュリティリスク管理体制の構築
- サイバーセキュリティ対策のための資源（予算・人材等）確保
- サイバーセキュリティリスクの把握とリスク対応に関する計画の策定
- サイバーセキュリティリスクに対応するための仕組みの構築
- サイバーセキュリティ対策における PDCA サイクルの実施
- インシデント発生時の緊急対応体制の整備
- インシデントによる被害に備えた復旧体制の整備
- ビジネスパートナーや委託先等を含めたサプライチェーン全体の対策及び状況把握
- 情報共有活動への参加を通じた攻撃情報の入手とその有効活用及び提供
以上が、管理責任者に与えるべき指示です。先ほどの3原則に当てはめると、1～8までが自社内で経営者がリーダーシップをとって進めるべき対策で、9が関連企業との提携、10が関係者との共有となります。
サイバーセキュリティ経営ガイドラインには、これらの指示が適切に実施をしているかを確認できるチェックシートもついているので、現状の課題を見分けるために活用してみると良いでしょう。
サイバーセキュリティ経営ガイドラインの実施ポイント
サイバーセキュリティ経営ガイドラインVer2.0では、被害を防ぐことに加えて、被害の検知や被害からの復旧といった事後的な対処も重視されています。それぞれのポイントを押さえていきましょう。
攻撃を検知する
まずは不正プログラムの侵入を検知することが重要です。サイバー攻撃の手段は巧妙化しており、企業側が気づかない間に重要な情報を抜き取られている可能性があります。実際に外部機関からの報告によって事後的に被害を把握するケースも多いため、企業側でも検知手段を用意することが重要です。ログの保管・分析を行い、不正な動きを検知する仕組みを整えましょう。
重要な情報への侵入を防ぐ
次に被害を防ぐために、重要情報へのアクセスを遮断することが重要です。悪意を持ったプログラムの侵入を防ぐためには、多層的な防御が必要とされています。その中でもポイントとなっているのが、ネットワークの隔離やアクセスの監視です。
こうした対策には、AppGuard（アップガード）などのセキュリティ技術導入が有効です。起動時にプロセスをコンテナ化して隔離することで、通常通りの動作を行いながら、不正なアクセスを防ぐことができます。
復旧手段を用意する
最後に、一度受けてしまった被害から素早く復旧する手段も確保しておきましょう。サイバー攻撃の中には、PCのアクセス権や破壊したデータの復旧を身代わりにして金銭を要求するケースもあります。こうした被害にあわないためには、こまめなデータバックアップが有効です。データを自前で復旧できるように備え、不当な要求には従わずすぐに警察へ通報しましょう。
サイバーセキュリティ対策に取り組もう
サイバー攻撃への対策が不十分な場合、自社の利益を失うだけではなく、関係企業や顧客も多大な被害を受けてしまいます。そうした事態を引き起こさないために、サイバーセキュリティ経営ガイドラインにもとづいた、適切なセキュリティ対策が必要です。
おすすめのお役立ち資料はこちら↓
在宅ワークを導入する際に必ず押さえたい！ 情報セキュリティの基礎項目をご紹介します。
テレワーク・セキュリティ強化チェックリスト
～社員教育のポイント解説付き～
- この記事を監修した人
- 16年間、SIerやソフト開発会社でITソリューション営業として従事。
セキュリティおいては、主にエンドポイント、無害化、認証製品の経験を積み
DAIKO XTECHに入社後は、さらに専門性を高め、セキュリティにおける幅広いニーズに答えていくための提案活動や企画プロモーションを展開。
お客さまと一緒に悩み、一緒に課題解決が出来る活動を心掛けている。 - DAIKO XTECH株式会社
ビジネスクエスト本部
ICTソリューション推進部
セキュリティビジネス課 - 中須 寛人
