サイバーセキュリティ経営ガイドラインとは？社長が読む要点を短く解説

サイバーセキュリティ経営ガイドラインとは、経済産業省とIPAが経営者向けにまとめた、サイバー攻撃から企業を守るための指針です。経営者が認識すべき3原則と、担当幹部に指示すべき重要10項目⁠で構成されています。

今日やることは、下の表を担当者に渡し、10項目それぞれに「できている」「できていない」「分からない」⁠で答えてもらうことです。社長が全文を読み込むより、答えが返ってきた項目から判断するほうが先に進みます。

現行版は2023年3月24日公開のVer3.0です。基礎から全体を見たいときは、サイバー攻撃の基本と最新動向のカテゴリ⁠も使えます。

うちの会社は対象になるのか？

経済産業省の説明では、対象は大企業と中小企業（小規模事業者を除く）⁠のうち、ITのシステムやサービスを供給する企業と、経営戦略上ITの利活用が不可欠な企業の経営者です。生産管理や受発注のシステムが止まると仕事が止まるなら、製造業でも自社の話として読むほうが自然です。

小規模事業者を含めて使いやすいのは、IPAの中小企業の情報セキュリティ対策ガイドライン第4.0⁠版です。経営者編と実践編があり、方針のサンプルや資産管理台帳のサンプルなど付録も揃っています。

2つ⁠は競合する文書ではありません。経営者編は、経営ガイドラインの内容を中小企業向けに編集したものと経済産業省も説明しています。この記事は、経営ガイドラインの10項目⁠を入口にして、実際の作業は中小企業向けの付録に落とす読み方を示します。

社長が先に押さえる3原則は何か？

IPAの解説による3原則を、短く言い直すと次のとおりです。

• サイバーリスクは経営の重要課題で、社長が自ら進める
• 自社だけでなく、拠点、取引先、委託先まで目を配る
• 平時も緊急時も、関係者と積極的に話す

担当者任せにしない、という話に読めます。理由は数字にも出ています。IPAの2024年度の中小企業調査では、約7割⁠の企業で組織的なセキュリティ体制が整っておらず、過去3期⁠に対策投資をしていない企業が約6割でした。体制と予算は、担当者の努力だけでは決められません。

重要10項目を、どんな指示に置き換えるか？

項目名はIPAの解説のとおり（一部短縮）⁠で⁠す⁠。言い方と返してもらうものは、中小企業で使えるように私たちが置き換えました。原文の代わりにはならないので、細部は原文に当たってください。

1〜3は社長にしか決められない

方針、責任者、予算の3つは、担当者から言い出しにくい項目です。方針のひな形は中小企業向けガイドラインの付録2にあります。社外に示す形を考えるなら、IPAのSECURITY ACTIONという自己宣言の仕組みも入口になります。

CISOという肩書きは、中小企業ではなくても動けます。大事なのは、判断する人が1人決まっていて、権限と予算が一緒に渡されていることです。兼任なら、セキュリティに使える時間を業務の中で空けます。

4〜6は「数字か一覧」⁠で返してもらう

指示4の関連資料であるIPAのプラクティスは、リスクを把握して対応を計画する流れを示しています。全部を消す必要はありません。減らす、保険や委託に回す、残すと決めて受け入れる、のいずれかを社長が選びます。

指示5の中身は防ぐ・気づく・戻すで足りない所を探す方法⁠で詳しく扱いました。指示6の物差しには、IPAのサイバーセキュリティ経営可視化ツール⁠が使えます。重要10項目⁠の実施状況を5段階の成熟モデルでレーダーチャートに表し、業種平均値と比べられます。もっと手前なら、中小企業向けガイドライン付録の「5分⁠でできる！情報セキュリティ自社診断」⁠で⁠も構いません。

7と8は、止まった日の想定で聞く

「あるか」⁠で⁠は⁠な⁠く「週末に起きたらどうするか」⁠で聞くと、穴が出ます。 IPAのランサムウェア被害から学ぶ教訓集⁠は「経営者のためのランサムウェア対策ハンドブック」という副題で、経営者の迅速な判断と明確な関与を教訓に挙げています。

中小企業向けのセキュリティインシデント対応の手引きでも、責任者は対応すべき事案と判断したら速やかに経営者へ報告し、経営者が体制を立ち上げるとしています。社長の携帯番号が連絡の順番の表に載っているかを確かめます。

警察庁の令和7年⁠の報告書では、ランサムウェア被害組織のうち、サイバー攻撃を想定した業務継続計画を策定済みなのは約18%でした。地震の計画があっても、データが暗号化された場合の調査や広報は別の対応が要ると同じ報告書は述べています。

9と10は、取引先の話として進む

取引先から質問票が届いている会社は、指示9がすでに現実の仕事になっています。今後の材料としては、SCS評価制度⁠があります。委託元が委託先に適切な段階（★）⁠を示し、対策を促して実施状況を確かめる使い方を想定した制度で、経済産業省の案内では★3と★4は2026年度末頃の申請受付開始を目指すとされています。

委託先を外から評価する仕組みを調べるならセキュリティレーティングの比較が材料になります。評価の点数だけで委託先の良し悪しを決めず、質問票や話し合いと合わせて使います。

指示10は難しく考えなくて構いません。注意喚起を読む人を決め、事故が起きたときの届け先を手引きの一覧から写しておきます。

製造業なら、どこを読み替えるのか？

たとえば、工作機械や検査装置をネットワークにつないでいる工場の場合、指示7と指示8の「システム」⁠に工場の設備を含めます。指示7の解説にも、制御系を含むサプライチェーン全体のインシデントに対応できる体制とあります。

担当者に聞くときは、「情シスで見ている範囲」⁠と「工場で見ている範囲」⁠を分けて答えてもらいます。責任者が別々なら、どちらが止める判断をするかを社長が決めます。設備を止めると生産に響くので、止める基準は事前に決めておくほうが現場も動きやすくなります。

社員への伝え方も工場と事務所で分けます。全員に同じ資料を配るより、現場で起きそうな場面に絞るほうが伝わりやすいからです。社員教育を外部に頼むなら、社員向けセキュリティ教育の比較で教材の量や訓練メールの有無を確かめられます。

担当者の答えが「分からない」ばかりだったら？

責める場面ではなく、社長の出番です。社内に専門家がいない会社では普通のことです。「分からない」⁠の項目に、調べる人と期限を付けます。

社外の力を借りるときは、10項目⁠のどこを頼むのかを決めてから相談します。セキュリティコンサルティングの比較で、頼める範囲の違いを見られます。相談先の見方は、サイバーセキュリティ会社の選び方⁠に分けて書きました。

実践の例を読みたくなったら、IPAのプラクティス集第4版⁠があります。項目ごとに考え方や手順、担当者の悩みが載っているので、社長が読むより、担当者に「指示7のところを読んで、うちならどうするか教えて⁠」⁠と渡す使い方が向いています。

全部を今年中に埋める必要はありません。今年は指示2と指示7だけ、来年は指示8と指示9、というように、社長が順番を決めて担当者に伝えれば、ガイドラインは手元で動く文書になります。