サイバーセキュリティ対策による企業価値の拡大に向けて
内閣官房 内閣サイバーセキュリティセンター 副センター長
𠮷𠮷川 徹志2023年 「サイバーセキュリティ月間」
 毎年2月1日から3月18日を「サイバーセキュリティ月間」に設定。 関係機関・団体と連携し、サイバーセキュリティに関する普及啓発活動を集中的に実施。
 2023年は、こどもからシニアまで幅広い層に向けた広報活動に注力し、誰でもわかりやすいコンテンツ展開等を実施。
 QUADサイバーセキュリティ啓発イベントとも連携しながら、日本国内におけるキャンペーン活動を展開。
月間キャンペーンの認知度向上

月間期間中のNISC主催イベント

 官房長官からのメッセージ サイバーセキュリティ月間キックオフイベント

 月間コンテンツ等の作成○ 月間のアイコン

 NISC-CTF※

月間の開始にあわせ官房長官メッセージを発信『大和田 獏 さん』、『髙橋 ひかる さん』を起用○ ポスター・デジタルサイネージ

上記アイコンを活用したポスター及びデジタルサイネージの制作

月間の開始に合わせて、報道等メディアに向けた広報用イベントを実施

各府省庁・独法等の職員がサイバーセキュリティに関する幅広い技術・能力を競う競技会を開催 ※CTF：Capture The Flag

 経営層向けオンラインセミナー３月17日（金）に経営層向けのオンラインセミナーを実施○ 周知用動画・チラシ

SNS等での周知用の短時間（15～30秒程度）の動画の制作。官公庁やその他組織での周知活動用のA4サイズのチラシ制作

 戦略的広報の実施○ 各種チャネル展開

音声広報CD、点字・大活字広報誌、ニュースバナー
広告等で周知展開○ 月間特設ページ

NISCポータルサイト内に月間特設ページを作成、月間特別コンテンツを掲載○ 月間関連イベント

産学官民の各普及啓発主体による普及啓発・人材育成等のイベントを開催○ コラム

政府機関の実施・提供する人材育成・普及啓発施策の関係者が執筆するコラムを発信

普及啓発コンテンツ等の作成
 普及啓発用動画

経営層への意識啓発や「サイバーセキュリティ対策9か条」をテーマとした動画を制作

 相談窓口の周知

都道府県警察・消費者庁・IPAの相談窓口等、一般国民や中小企業等が誰でも利用できる相談窓口に関する情報を周知するための配布カー
ドや動画を制作

 サイバーセキュリティを学べる、考える、使えるアイテム「インターネットの安全・安心ハンドブック」、「パスワード管理ノート」、「PC等のバーチャル背景」、「注意喚起カード」等の配布を予定

１２３４５６７８
９

サイバーセキュリティ対策9か条
OSやソフトウェアは常に最新の状態にしておこう
パスワードは長く複雑にして、他と使い回さないようにしよう
多要素認証を利用しよう
偽メールや偽サイトに騙されないように用心しよう
メールの添付ファイルや本文中のリンクに注意しよう
スマホやPCの画面ロックを利用しよう
大切な情報は失う前にバックアップ(複製)しよう
外出先では紛失・盗難・覗き見に注意しよう
困った時はひとりで悩まず、まず相談しよう1

経営層の関与①
 ここ数年、セキュリティへの経営層の関与度合いは大きく進展していない。
■日本企業におけるセキュリティへの経営層の関与度合い0%
2017年度(n=1055)
2018年度(n=1077)
2019年度(n=957)2020年度(n=1134)
2021年度(n=1123)

10%

20%

30%

40%

50%

36.7
31.0
36.6

60%

70%

53.0

80%

90%

100%

10.3
12.6

56.4
53.8

9.6

39.9

51.1

9.0

38.6

50.9

10.4

■経営層は､セキュリティリスクを経営課題のひとつと認識しており､セキュリティリスクや重大なセキュリティ対策については､経営会議等で審議･決定される■経営層は､セキュリティリスクや重大なセキュリティ対策の重要性を認識しているが､取組みは主にIT部門などに任せ経営会議で議論されない■経営層は､セキュリティリスクおよび対策について重要性を認識しておらず､ほとんど会話することがない［出典］ （一社）日本情報システムユーザー協会 各年度の「企業IT動向調査報告書」よりNISC作成（参考）米国の動向
米国ではサイバーセキュリティについて、経営層であるCEOが取締役会に報告する割合が56%との報告がある。
※ “NACD Public Company Governance Survey 2019-20”（2019.12）

2経営層の関与②
 米・豪では、経営層からのトップダウン指示で推進できるセキュリティ体制であることがうかがえる。
 日本とは異なり諸外国では、株主や取引先からセキュリティ対策が要請され、自社のセキュリティリスクを評価する時代から、サプライチェーンの枠組みで、社外・外部からも評価される時代へと差し掛かっている。
 自社のセキュリティに対する課題認識について、「経営層・役員」と「部長」の間で差異がみられる。
■直近1年に実施したセキュリティ対策の実施のきっかけや理由
日本 (n=1,656)

米国 (n=524)

オーストラリア (n=524)

1位

35.0%
他社でのセキュリティインシデント事例

55.3%
経営層のトップダウン指示

46.6%
経営層のトップダウン指示

2位

33.0%
テレワークなど働き方の変化に伴う対応

23.1%
競合他社の実施状況との比較

33.6%
他社でのセキュリティインシデント事例

3位

29.3%
自社でのセキュリティインシデント

22.9%
他社でのセキュリティインシデント事例

32.3%
株主や取引先からの要請

4位

20.2%
経営層のトップダウン指示

20.4%
株主や取引先からの要請

23.7%
持株会社や親会社からの要請※ 他選択肢：• DX化推進に伴う対応• 昨今の国際情勢を踏まえた監
督省庁からの注意喚起• 関連法規の改定（具体的な関連法規を記載）• 監督省庁からのセキュリティ対策強化の要請（自治体からの要請を含む）（具体的な要請内容を記載）• その他（具体的に記載）• わからない

5位

14.7%
内部監査・内部有識者からの指摘

19.3%
外部監査・第三者評価の結果

21.2%
自社でのセキュリティインシデント[出典] NRIセキュアテクノロジーズ㈱「NRI Secure Insight 2022」（2023年2月）■自社におけるセキュリティインシデントに対する課題（役職別）
80%60%

特に課題はない

60.8%

54.8%
40.3%

33.8%

40%

セキュリティー対策（ソフト・ハード・サービス）の見直し
専門部署の立ち上げや既存の専門部署の強化
OSのパッチ適用の徹底などの端末管理の強化

20%

セキュリティーインシデント発生時の対応方法の整備
端末やデバイスに対するユーザーのアクセス権や閲覧権限の管理

0%
経営層・役員部長

課長

一般

取引先に対してのセキュリティーポリシーの運用の徹底[出典] NTTビジネスソリューションズ(株)「サプライチェーン攻撃に関する市場調査レポート」 （2022年5月）よりNISC作成

3

重要インフラのサイバーセキュリティに係る行動計画 改定の概要
 安全で安心な社会の実現には、官民の緊密な連携による重要インフラのサイバーセキュリティの確保が必要であり、基本的な枠組みとして、政府と重要インフラ事業者等との共通の行動計画※を推進してきた。

※ 「重要インフラの情報セキュリティ対策に係る第４次行動計画」(平成29年４月18日サイバーセキュリティ戦略本部決定)

 重要インフラを取り巻く脅威は年々高度化・巧妙化している中で、サイバーセキュリティ戦略（令和３年９月28日閣議決定）を踏まえ、環境変化に適確に対応できるようにするため、令和4年6月17日に開催されたサイバーセキュリティ戦略本部にて、新たな行動計画を策定した。
重要インフラ(全14分野)

 第４次行動計画における有効な取組は継続
 組織統治の一部としてサイバーセキュリティを組み入れ、組織全体で対応

情報通信、金融、航空、空港、鉄道、電力、ガス、政府・行政サービス、医療、水道、物流、化学、クレジット、石油 重要インフラを取り巻く脅威の変化に対応するため、将来の環境変化を先取りし、サプライチェーンを含めてリスクを明確化し対応
第４次行動計画

障害対応体制の強化○ 経営層に対し、サイバーセキュリティに関する意識を高めるよう働きかけ○ 事業継続計画の整備とそれを実行するための組織体制の構築

新たな行動計画○ 経営層、CISO、戦略マネジメント層、システム担当等、組織全体での取組となるよう、組織統治の一部としてサイバーセキュリティを組み入れる。必要な観点として、経営層の重要インフラサービス障害等に対する責任等を明記○ 重要インフラサービスを提供するために必要なサプライチェーン等に関わる事業者が、サイバーセキュリティ基本法に基づき、サイバーセキュリティの確保に努める責任を有する旨を明記し、組織の壁を越えたサプライチェーン全体で障害対応能力を向上○ 分野横断的に必要な対策を共通指針として策定○ 事業者の取組についてのアンケート調査・ヒアリング○ 組織統治、サプライチェーン等の観点から共通指針を改定○ 事業者における経営層のリーダーシップ、セキュリティ対策等の取組状況をより正確に把握し、取組の継続的な改善を促進

情報共有体制の強化○ 多様な連絡形態による情報共有○ 共有情報の明確化○ 重要インフラ事業者等の自主的な取組の活性化を前提とした共助の推進○ ナショナルサートの枠組みの強化の検討との整合性保持

リスクマネジメントの活用○ リスク評価の推進○ 経営層による自組織の特性の把握、サプライチェーン・リスクを含めたリスクの明確化等により自組織に適した防護対策の実現を促進○ 官民が連携して行う演習等の実施○ 障害対応体制の有効性検証としての分野横断的演習の推進○ 警察、デジタル庁との連携強化

安全基準等の整備・浸透防護基盤の強化4経営層向け啓発動画
 経営層向けのショート動画を10本公開。
 動画をきっかけとして企業や各種団体の経営層とセキュリティの現場との間で円滑な対話がなされ、各組織のサイバーリスクの現状や実態が正しく認識され、経営トップのリーダーシップにより適切なセキュリティ体制の整備が進むことを期待。

5

経営層向けセミナー
 サイバーセキュリティへの取組みは事業継続性や企業価値に直結し、今やサイバーセキュリティは企業経営の最重要事項のひとつ。投資家は各企業のサイバーセキュリティ動向に注目。
名だたる専門家のご講演を通して、経営層のあなただからこそできる取組みをご紹介•••••

ESG情報開示におけるサイバーセキュリティの関係
企業価値向上のためにサイバーセキュリティ対策に動いた国内の事例
国際的なサイバーセキュリティの動向
安心・安全なサイバー空間の構築を目指した業界
団体の活動
サイバーセキュリティを支援する行政による施策

本セミナーをお楽しみいただき、さらなるサイバーセキュリティの向上へ！

6