情報処理学会論文誌

日本企業のサプライチェーンにおける情報セキュリティガバナンスに関する研究
久保知裕†1

原田要之助†2

情報セキュリティ大学院大学原田研究室において実施した情報セキュリティアンケート調査の回答結果から，業務委託等のサービスを含む広義のサプライチェーンに関する情報セキュリティのリスク認識や管理手法の動向を分析した．また，経済産業省等が提供している外部委託時の情報セキュリティ管理に関するガイドラインの利用状況についても調査した．
この調査結果を通して，サプライチェーンの視点からは，国内では独自のセキュリティ管理の考え方が主流であり，海外と相互認証が行える国際的な管理手法が浸透していないことがわかった．サプライチェーンのグローバル展開を考えると，独自基準は貿易障壁になり日本企業の競争力を阻害する可能性がある．

Study of Information Security Governancein the Supply Chain of Japanese Companies
TOMOHIRO KUBO†1YONOSUKE HARADA†2

Questionnaire survey of information security, executed by Harada lab of IISEC, has provided level of risk recognition and trendof management methodology in supply chain incl. outsourcing as service supply chain. And, the present situation of utilizing theguidelines for information security management published by METI or other authorities has been surveyed.
In this study, it is recognized from the viewpoint of supply chain, that international standards of information securitymanagement, enabling to authorize multi-nationally, has not become prevalent in Japan, as domestic or corporates’ own standards
are more popular. In considering about global expansion of supply chain, unique standards may become trade barrier and impede
competitiveness of Japanese companies.

1. はじめに企業のビジネスモデルは，全ての機能を自社内，自社グ連携を行う上で，インターネットなどの通信ネットワークの活用や IT 基盤の共同利用など IT 利用のモデルも進化してきているが，IT への依存が高まることで，情報セキュリループ内に抱え込む垂直統合のモデルから，自社の得意とティリスクも高まっている．

する機能を選択集中するモデルに移りつつある[1]．競争力

IT の効果的な活用，適切な情報セキュリティの維持改善をのある外部の機能と自社の得意な機能を組み合わせること行う上で，ガバナンスモデルの構築，運用は重要である．

で，競争力を高めている．サプライチェーンを例にとると，しかし，海外を含む企業外部組織との連携を意識した仕組系列に代表される一社を頂点にしたピラミッド型から，系み作りは十分ではないと考えられる．

列を超えて取引を行うメッシュ型や，勝ち残った企業に取本研究では，原材料や商品だけでなく，ICT などサービ引が集中したりするダイヤモンド型等，より複雑化する方スも含めた他企業との連携を広義のサプライチェーンとし向へ変わってきている[2]．てとらえ，今回は ISMS もしくはプライバシーマーク（以また，日本企業の事業活動は，停滞する国内市場から海外下，P マーク）を取得した企業，大学，官公庁へのアンケ市場へ軸足を移しつつある．販売先としての海外だけでなートによる現状調査を通して，課題の洗い出しを行った．

く，原材料・部品・商品の調達，生産や物流，経理や給与計算といった事務作業，ソフトウェア開発やデータセンター運用などの様々な分野で，海外企業との連携や業務の委

2. ガバナンスと認証制度
本稿におけるガバナンス及び認証制度を下記のとおり定託が行われるようになっている．

義した．

これらの事業活動における情報の伝達や業務処理を支える

2.1 ガバナンスのが，IT 基盤である．事業活動のグローバル化や外部との企業は営利を目的にして経済活動を行う組織である．2004
年 に 改 訂 さ れ た OECD の Principles of Corporate†1 情報セキュリティ大学院大学
Institute of Information Security†2 情報セキュリティ大学院大学
Institute of Information Security

Governance[3]によれば，コーポレートガバナンスは，市場ルールや法的な制約の中で企業が経済的な価値創造活動を持続させるための枠組みとプロセスを指す．企業は個々のⓒ2012 Information Processing Society of Japan1

情報処理学会論文誌

独立した組織として経済的な価値を生み出す能力を最大化

表1

ISMS と P マーク†3

するために，コーポレートガバナンスの能力を進化させてきた．
企業活動において，情報システムは業務を支援し意思決定を助けるインフラストラクチャであり，業務と不可分である．IT Governance Institute (ITGI) が PWC に託して 2010 年に行った調査[4]では，CEO や CIO など企業経営者の 94％が IT は事業戦略やビジョンの実現のために重要もしくは大変重要だと認識し，特に IT 投資による事業価値の創造，事業戦略の支援に貢献していると考えている．
2013 年 6 月 14 日に閣議決定された第二次安倍内閣による「世界最先端 IT 国家創造宣言」[5]の中では，目指すべき社会・姿を実現する取り組みの中で政府による IT ガバナン

ISMS は，個別の問題毎の技術対策の他に，組織のマネジスの強化を挙げ，戦略的な IT 投資管理，IT 人材育成を進メントとして，自らのリスクアセスメントにより 必要なセめるとしている．

キュリティレベルを決め，プランを持ち，資源配分して，IT ガバナンスは組織が IT を有効に活用して価値創造を行システムを運用する．組織が保護すべき情報について，機うためのフレームワークである．COBIT5[6]によれば，“情密性，完全性，可用性をバランス良く維持し改善すること

報と関連技術が，事業体の戦略と目標達成をサポートし，が 情報セキュリティマネジメントシステム(ISMS)の基本確実に実現できるようにするための，ガバナンスの観点．

コンセプトである[10]．

IT 能力が効率的および効果的に提供されるようにするこ

一方，P マーク（プライバシーマーク）制度は，日本工業となどの，機能的 IT ガバナンスも含まれる”と定義して規格「JIS Q 15001 個人情報保護マネジメントシステム―要いる．また，原田によれば、企業に求められる IT ガバナン

求事項」に適合して，個人情報について適切な保護措置をスの新しいモデル[7]では，価値創造という攻めの目的に加講ずる体制を整備している事業者等を認定して，その旨をえ，価値保全という守りの目的もあるとしてリスク管理の示すプライバシーマークを付与し，事業活動に関してプラ最適化プロセスを提案している．

イバシーマークの使用を認める制度である[11]．

攻めのモデルを IT ガバナンス，守りのモデルを情報セキュ

代表的な相違点を次に挙げる．

リティガバナンスとしてとらえ，本稿では ISO/IEC 38500

ISMS は ISO/IEC27001 に基づいた国際規格であるが，P マを参照して作成された JIS 案[8] および ISO/IEC27014 の JIS

ークは JISQ15001 に基づく国内規格である．そのため，

案[9]を元に次のように定義した．

ISMS は IAF(International Accreditation Forum：国際認定機関

IT ガバナンスは情報を取得，加工，保存及び普及するためフォーラム)に加盟する 62 か国の認証機関と相互認証が可に必要な資源（IT）を対象とし，組織における利用を指示，能であるが，P マークは，事務作業のアウトソーシング先管理する仕組みを指す．すなわち，IT 戦略を実現化するたとして利用される大連など 2 機関のみと相互認証できるにめの制度やプロセスを管理する仕組みや組織能力のことですぎない．

ある．（ISO/IEC38500：2008）

また，ISMS がハードウェア，ソフトウェア，データなど

情報セキュリティガバナンスは情報の機密性，完全性，可を含む組織内の特定な事業（範囲）における情報資産全般用性を対象とし，組織の情報セキュリティ活動を指導し管を対象とし，情報の機密性，完全性，可用性を要求するも理する仕組みのことを言う．法令，規制，契約を順守しなのであるのに対し，P マークは全社の個人情報を対象とし，がら情報セキュリティの目的と戦略を事業の目的及び戦略利用者の同意や安全管理等を要求するものである．と整合性を取っていかなければならない．
（ISO/IEC27014：

取得および維持の費用も異なる．表 1 の費用を用いて試算

2013）
2.2 認証制度
今回実施したアンケートでは，回答対象として，大学および官公庁と並び，代表的な情報セキュリティの認証であるISMS もしくは P マークを取得している企業から抽出している．データ分類の属性の一つとして利用することから，代表的な特徴について表 1 のとおり整理しておく．

ⓒ2012 Information Processing Society of Japan†3 参照情報
下記 WEB サイト 2013 年 11 月 25 日閲覧
ISMS と P マーク比較 oficeta.com
http://www.pangkal.com/isms/index2.html
プライバシーマーク制度 相互認証
http://privacymark.jp/links/index_sougo.html
ISIM 取得・維持費用 アーチ株式会社
http://privacymark.co.jp/isms_get/index.html
P マーク取得・維持費用 アーチ株式会社
http://privacymark.co.jp/privacymark_get/index_1.html
http://privacymark.co.jp/privacymark_update/index_1.html

2

情報処理学会論文誌

すると，社員数 30 名程度で WEB サイト数 1，部門数 4 のに事業規模（売上規模），図 3 に事業規模と取得している認企業が全社を対象にした ISMS を取得，三年間維持する費証の状況を示す．

用は 381 万円と推定される．一方，同規模の企業，P マー

図 1 では，最も多いのは 45％の情報通信業でソフトウェア

クの分類で従業員 6 から 100 名程度で資本金 5000 万円以下

開発やデータ処理などの IT サービスや広告業などを含む．のサービス業が P マークを取得，三年間維持する費用は 105

次いで大学が 20％，11％が人材派遣などのサービス業とな万円となり，おおよそ四倍近い費用差となる．

った．

3. アンケート調査
3.1 アンケートの概要
情報セキュリティ大学院大学，原田研究室では毎年，情報セキュリティ対策に関するアンケートを行っている．
2013 年は情報セキュリティマネジメントの取組み状況，情報セキュリティへの管理体制と人材育成，情報セキュリテ
ィのガバナンス，営業秘密の管理，クラウド・コンピュー
ティング，事業継続計画等の調査を行った．調査の概要は次のとおりである．

図1



実施期間

2013 年 7 月から 8 月



対象組織

ISMS もしくは P マークの取得企業および，大学と官公庁
アンケート発送数

調査方法



設問数

4500，回答数

367 件

郵送によるアンケートの送付と回収
50 問

3.2 本稿に関する調査内容（質問）回答事業体の業種（N=367）

図 2 の事業規模（企業は売上，大学と官公庁は予算）では，10 億円以上 50 億円未満が 33％であった．次いで，5 億円以上 10 億円未満が 14％，1 億円以上 3 億円未満が 13％となっている．また，50 億円以下の事業体が 75％以上を占める．

本稿に関連する質問について表 2 に示す．
表2
[Q26]

情報セキュリティのガバナンス設問

顧客の立場として，購買方針や調達方針（IT委託，業務委託を含む）が策定されています
か．策定されている場合，個人情報保護および情報セキュリティに関する項目が含まれていますか．

[Q27]

顧客の立場として委託先・調達先を選定する際，情報セキュリティの観点から最も重要な項目はどれですか．

[Q28]

顧客の立場として委託先を選定する際に，情報セキュリティのリスク対応として要求している事項はどれですか．

[Q30]

受託者・供給者の立場として，顧客から情報セキュリティのリスク対応を要求されていますか．

[Q32]

外部との委託先・調達先に対する情報セキュ
リティガバナンスに関する下記のガイドラ
イン，ツールについてご存知ですか．

4. 調査結果
4.1

回答事業体のプロファイル

図2

回答事業体の規模（売上規模）（N=367）

次に，取得している認証について調べたところ，P マークを取得している事業体は 269 件で全て企業である．153 件
は P マークのみ取得している企業（以下，P マークのみ取得企業）である．116 件は ISMS も併せて取得している企業（以下，ISMS+P マーク取得企業）である．ISMS のみ取得しているのは，2 件の大学であった．図 3 から，ISMS+Pマーク取得企業，P マークのみ取得企業のどちらも 10 億円
以上 50 億円未満が最も多い．また，P マークのみ取得企業
は約 8 割の企業が 1 億円以上 50 億円未満の範囲に属し，ISMS+P マーク取得企業では約 8 割が 5 億円以上 300 億円未満の範囲に属している．すなわち，P マークのみ取得企業の方が小規模である．

回答のあった 367 件の事業体について，図 1 に業種，図 2ⓒ2012 Information Processing Society of Japan3

情報処理学会論文誌

図3

事業規模と取得認証

図5

業務委託先に対する情報セキュリティリスク
ISMS(+P マーク)取得企業

4.2 業務委託における情報セキュリティ管理
回答事業体のサプライチェーンに関する情報のセキュリティガバナンスについて，図 4 に調達・購買方針と情報セキュリティの関係（Q26），図 5 と図 6 に業務委託先に対する情報セキュリティリスクの認識度（Q27），図 7 と図 8 に委
託・受託業務の種類と管理手法（Q28 と Q30），図 9 にガイドラインの認知度を示す（Q32）．
図 4 から，個人情報保護と情報セキュリティ，両方の項目を含めている企業は半数を超えている．また，個人情報保護の項目は情報セキュリティの項目よりも考慮されている．
図6

業務委託先に対する情報セキュリティリスク
P マークのみ取得企業

図 7 と図 8 は，図 5 と図 6 同様に調査した．
業務委託における要求事項は契約のみ，チェックシートのみが，どの業務においても多かった．また，第三者認証としては P マークを利用することが多い．IT サービスの場合，
図4調達・購買方針と情報セキュリティの項目（N=367）

ISMS が利用されているが，P マークとの組み合わせで使われていることも多い．

図 5 と図 6 では，業務委託の種類を IT サービス，生産や物流等，経理や給与計算等，原材料・部品・商品の調達の四つに分け，それぞれについて機密性，可用性，完全性のどれを重要視するかの回答を示した．図 5 は ISMS+P マーク
取得企業を対象，図 6 は P マークのみ取得企業を対象としている．ISMS+P マーク取得企業の原材料・部品・商品のIT サービスの受託時には，ISMS と P マークに契約やチェックシートを組み合わせる手法，P マークに契約やチェックシートを組み合わせる手法が多いと考えられる．それ以外の業務受託については P マークもしくは契約のみとの回答が多い．また，可用性を重視する生産や物流等の受託でも P マークを利用する回答が多かった．

調達を除き，他全てについて機密性が重視されている．その傾向は P マークのみ取得企業で顕著である．また，二番目に多い項目を見ると，業務によって異なり，IT サービス，生産・物流等の委託，原材料・部品・商品の調達では可用性，経理・給与計算では完全性が重視されている．

図7ⓒ2012 Information Processing Society of Japan

委託業務の種類と管理手法（委託の場合）

4

情報処理学会論文誌

これは，システムの停止が操業に与える影響が大きい，また，不完全なデータが業務の混乱を引き起こすためだと考えられる
ISMS+P マーク取得企業と P マークのみ取得企業による傾向の差を見ると，P マーク取得企業のほうがどの業務においても機密性を重視する傾向が強く，ISMS 取得企業は機密性，可用性，完全性の強弱がはっきりしている．個人情
図8

受託業務の種類と管理手法（受託の場合）

報保護を目的とする P マークを運用する企業では機密性に視点が向きやすく，ISMS を運用する企業では他の要素と

図 9 では，外部委託における経産省等のガイドラインは回のバランスを要求されることから傾向に違いがあると考え答者の 10％前後にしか利用されていない．また，名前しかられる．

知らないという回答を含めてもほぼ半数であり，認知度は委託時と受託時に分けて管理手法の傾向を分析すると，IT低い．JASA の提供しているガイドラインは最も認知度がサービス受託時の顧客からの要求事項として ISMS+P マー低かった．

クが多かった場合を除き，ISMS を要求されることは少な
く，ISMS 以外の管理手法が用いられている．全般には国内独自規格である P マーク，委託時には企業独自の要求を反映する契約，チェックシートが多いことから，ISMS のように国際的に標準化された管理施策が十分に活用されていないと考えられる．
5.3 業務の外部委託に関する情報セキュリティのガイド
ライン
図 9 に示した通り，経済産業省等から情報セキュリティガバナンスやサプライチェーン，アウトソーシングに関する

図9

ガイドラインの認知度（N=367）

管理手法についてガイドラインが提供されているが，利用は少ない．内容の認知自体も少ないことを考えると，普及のための啓発活動が足りず，企業での活用を考えて作成さ

5. 考察れたのか疑問がある．

5.1 第三者認証の取得と事業体規模

6. リスクと管理施策の変化

アンケート調査の結果から考えると，第三者認証についてはコストが大きな要素だと考えられる．ISMS の取得・維持費用と P マークの取得・維持費用では，四倍近い開きがある．売上規模の小さな企業にとって ISMS は費用負担が大きい．また，個人情報保護法の存在や，図 4 に示したように購買・調達においても個人情報を重視する傾向がある
こと，図 5 と図 6 で示したように，どんな場合も機密性を重視する傾向があることから，P マークは広範に利用され，特に小規模企業では P マークのみの認証で十分だと考えている可能性がある．
5.2 業務の外部委託に関する情報セキュリティのリスク
意識と管理手法
先述のとおり，情報セキュリティリスクについては機密性を重視する傾向がある．IT サービスに関しては，漏えいだけでなくシステム運営の委託なども含まれることから機密性に次いで可用性が重視されている．生産・物流や原材料・部品・商品の調達でも機密性に次いで可用性が重視され，また，給与計算や経理においては完全性が重視されている．

ⓒ2012 Information Processing Society of Japan

6.1 サプライチェーンリスク
サプライチェーンにおいては，企業が組織内に保持していたリスクを外部に移転したといえる．
サプライチェーン構成企業のシステム停止やネットワーク障害が，連携するプロセスを阻害し，サプライチェーン自体に影響を与える．例えば，東日本大震災では，停電による電力供給の途絶などにより，情報システムが停止することで業務が停止するリスクが顕在化した．また，誤った不完全なデータがプロセスに投入されたり，改ざんされたりすることでサプライチェーン全体が誤作動してしまうリス
クもある．サプライチェーンの複雑化により，リスクの所在が見えにくくなっている．
IBM が 2009 年に行った Global Chief Supply Chain Officer
Study[12]では，400 社のサプライチェーン担当役員への調査では，サプライチェーンオペレーションのグローバル化や相互依存関係の進展によってリスクが高まっており，また管理自体も困難になっているとの認識の高まっていると述べている．効果的なリスク管理を阻む主な障害としては，標準化されたプロセスの欠如，不十分なデータ，不適切な5情報処理学会論文誌テクノロジーの利用が挙がっている．

ステムのオーナーとサービス提供者」の 4 つの柱がサプラ

PRMT によれば，2010 年に行った同様の調査[13]で，サプイチェーンリスクをコントロールする能力を決めるとしてライチェーンリスクは End to End のプロセス全体として考いる．

える必要があり，顧客や外部サプライヤーと連携したリス

欧州では，ENISA が 2012 年に An overview of the ICT supply

ク管理の必要性を述べている．

chain risks and challenges, and vision for the way forward[18]6.2 ガバナンスおよびリスク管理施策の変化を発表した．ここでは，７つの挑戦課題として，下記を挙アンケートでは，どのような管理施策が実際にとられていげている．

るかを調査した．ここでは日本および海外においてどのようなモデルが検討されているかを調査した．

グローバルに分散したサプライチェーン（人，プロセス，技術）の複雑性

まず，日本においては経済産業省が，2011 年 2 月に情報セ

キュリティガバナンスの導入ガイダンス補足編として「企業グループにおける情報セキュリティガバナンスモデル」

如

では，参加企業は共通の目的意識のもとで，必要な情報セントロールの欠如


取組が求められる．サプライチェーンに情報セキュリティガバナンスを確立することが重要であると述べる一方で，統計的に信頼できるレベルを測定し，IT エコシステム全体を通して整合性を認証するツール，プロセス，コ[14]を提案している．その一項目であるサプライチェーンキュリティ対策を実施し，グループ全体のリスクを下げる

ICT サプライチェーンに共通したガイドラインの欠エンドユーザに提供されるシステムに対する製品評
価の手法と技術の欠如



システムへの偽造や偽装による侵入を検知打破でき各社が意識を一つにして情報セキュリティ対策に臨むには幅広く適用できるツール，テクニック，プロセスの欠状況に差がある各社のために，リーダー企業が何らかの働如

きかけをしなければならないと述べている．
また，平成 23 年に発表された「サイバーセキュリティと経済研究会の中間報告」[15]においてもサプライチェーンセキュリティの重要性に触れられ，続いて，経済産業省の委生産から利用に至る様々な製品に対して整合性を担保するような協同的アプローチの欠如



ICT の様々な分野をまたがる互換性の高い整合性の要求欠如

託事業として日本セキュリティ監査協会（JASA）が「サプこれらの課題に対応するための施策として，信頼性や整合ライチェーン情報セキュリティ管理ガイド」[16]を策定し性を評価するためのフレームワークの必要性が提唱されてた．このガイドでは，委託元と委託先（再委託先含む）のいる．

行うべきことが示されている．委託元はサプライヤーの採

ま た ， 国際 標 準 の動 向 とし て ，情 報 セ キュ リテ ィ で は用基準として情報セキュリティ管理基準を公表し，それにISO/IEC27002 2013 が，冗長化等，可用性を重視すること準拠しているか，適切に管理できているかを確認する．一と，サプライヤーに関連する事項をまとめるなど，管理施方で，委託先は管理基準を適用し，適切に運用を行ってい策の見直しが行われた．

ることを示す．また，中立である情報セキュリティ運営機

ISO/IEC27017 と ISO/IEC27036 がサプライヤーやアウトソ関がサプライチェーン情報セキュリティポータルを設置運ーサー，クラウド事業者等の外部組織の情報セキュリティ用し，委託先，委託元双方が情報を共有できる仕組みを提施策について独立した標準を構成している．また，情報セ案している．

キュリティガバナンスについては ISO/IEC27014 が制定さここ数年で様々な施策が打ち出されていることから，サプれている．

ライチェーンの急激な進展やそれに伴うリスクの変化を後追いしているといえる．

7. まとめ海外におけるモデルや施策についても調査を行った．米国

アンケート調査においては情報セキュリティに対する意識では NIST の発表した NISTIR7622：National Supply Chainの比較的高い中小企業を中心に情報セキュリティのガバナ

Risk

ンスに関する回答を得ることができた．

Management

PracticesforFederal

Information

Systems[17]の中で，サプライチェーンへの攻撃はチェーン

これらの企業において，アウトソーシングを含むサプライ全体のすべてのプロセス，コンピューターシステムのハーチェーンについては個人情報保護，機密性を重視する傾向

ドウェア，ソフトウェア，サービスについて行われ，重要があること，委託先には国内基準・企業独自基準を要求すなデータや技術を盗み出したり，システムを破壊して重要る傾向があること，管理手法に関するガイドラインの普及な業務を停止させたりすることでサプライチェーンを攻撃施策が弱いことが挙げられる．

すると述べている．防衛策として，情報システムのライフ

しかし，企業活動の観点から考えると，サプライチェーンサイクルを通したリスクの定義と管理策を提唱している．

はグローバルに広がり，構造は複雑になっている．

「情報システムセキュリティ」，「調達」，「法律」，「情報シ

現在，国際的な課題となっている TPP 等，域内貿易，国際ⓒ2012 Information Processing Society of Japan6情報処理学会論文誌

貿易の自由化を進めるためにはモノやサービスの貿易障壁の除去が必要となる．標準は重要な要素の一つであり，国ごとに異なる標準は非関税障壁にあたる．ウルグアイラウ
ンドのテーマでもあり，標準の世界的統一を進めることは1995 年に WTO/TBT 協定（貿易の技術的障害に関する協定）[19] で合意された．この協定では，WTO 各国は内外無差別原則や手続きの公開が求められている．ISO との整合性や認証制度における国際標準の採用が求められており，相互承認の推進を通して，各国ごとの独自基準や標準，それに基づく認証制度の制定や運用が貿易障壁にならないようにしなければならない．2010 年版通商白書[20]においては“科学技術の進歩に伴うモジュール化，デジタル化，ネットワーク化の進展等により，国際市場での製品等の展開において優位なポジションを獲得・維持するための手段として国際標準の重要性はますます高まっている”と述べられている．
ISMS は ISO/IEC27000 シリーズとして国際的な情報セキュリティ管理標準であり，各国間で相互認証が図れるにもかかわらず活用が十分ではない状況が続くと，グローバルなサプライチェーンを活用した事業機会や効率化機会を失うか，情報セキュリティリスクを管理できないかもしれない．
情報セキュリティの標準化において，ガラパゴス化による競争力喪失が起こってしまうと言えるかもしれない．
TPP のような貿易協定が議論される中で，日本の競争優位を確立するためには，認証制度のあるべき姿や展開戦略を策定，実践することが必要である．

8. 今後の研究
本稿では，日本の中小企業を中心にしたアンケート調査の結果を示した．
今後は，アンケート対象に含まれていないと考えられる日
本の大企業，例えば TOPIX の指標企業について，有価証券

参考文献
1) ジェイ B, バーニー，企業戦略論（Gaining and Sustaining
Competitive Edge）基本編，ダイヤモンド社，2006 年 11 月，pp.196-198
2) 大塚哲洋他，日本型サプライチェーンをどう評価すべきか，みずほ総研論集 2011 年Ⅲ号，pp.1-93) OECD, Principles of Corporate Governance, 2004, p.124) IT Governance Institute，Global Status Report on the Governance ofEnterprise It (Geit)—2011，pp.12-145) 高度情報通信ネットワーク社会推進戦略本部（IT 戦略本部），
世界最先端ＩＴ国家創造宣言，2013 年 6 月 14 日閣議決定，pp.19-20
6) ISACA，COBIT 5 : A Business Framework for the Governance andManagement of Enterprise IT 日本語版，p.103
7) 原田要之助，企業に求められる IT ガバナンスの新しいモデル，
InfoCom REVIEW Vol.47，2009，pp.1-15
8) 情報技術－IT のガバナンス JIS Q38500：2014 日本工業規格（案）
9) 情報技術－セキュリティ技術－情報セキュリティのガバナン
ス JIS Q27014: 日本工業規格（案）10) ISMS（情報セキュリティマネジメントシステム）とは，情報マネジメントシステム推進センター，2013 年 11 月 27 日閲覧，
http://www.isms.jipdec.or.jp/isms/index.html
11) プライバシーマーク制度，概要と目的，日本情報経済社会推進協議会（JIPDEC），2013 年 11 月 27 日閲覧，
http://privacymark.jp/privacy_mark/about/outline_and_purpose.html
12) IBM，よりスマートな未来のサプライチェーン（GLOBALCHIEF SUPPLY CHAIN OFFICER STUDY），2009 年，p.18
13) PRTM，グローバルサプライチェーントレンド 2010－2012，2010 年，p.1814) 三菱総合研究所，情報セキュリティガバナンス導入ガイダン
ス 補足編～ 企業グループにおける情報セキュリティガバナン
スモデル ～，2011 年 3 月，pp.9-26
15) 経済産業省商務情報政策局情報セキュリティ政策室，サイバーセキュリティと経済研究会報告書中間とりまとめ，2011 年 8 月
5 日，P.68-69
16) 日本セキュリティ監査協会（JASA），サプライチェーン情報
セキュリティ管理ガイド，2012 年 8 月，スライド 4-1517) NIST，NISTIR7622，Notional Supply Chain Risk Management
Practices for Federal Information Systems，2012 年 6 月，pp.1-1518) ENISA，An overview of the ICT supply chain risks and challenges,and vision for the way forward，pp.19-28
19) 日本適合性協会，国際相互承認，2013 年 11 月 19 日閲覧
http://www.jab.or.jp/accreditation/international_accreditation/20) 経済産業省，国際標準の重要性の高まり，通商白書 2010，
pp.395

報告書や情報セキュリティ報告書等の開示情報から，サプライチェーンにおける情報セキュリティリスクや管理手法の調査を行う．同様に，比較対象として海外の大企業，例
えばダウ 30，ユーロネクスト，FTSE，香港ハンセン等の指標企業について開示情報を利用して調査を行う．
さらに，サプライチェーンにおける国内及び海外の認証制度や情報セキュリティ標準の動向について文献と資料による調査を行い，企業の動向と比較する．
これらの調査を通して，外部と連携したビジネスモデルにおける情報セキュリティ管理の課題を確認，分析し，国際標準の動向を踏まえた施策の提言につなげたい．
謝辞

本研究の指導を頂いている情報セキュリティ大学院大学の原田教授，アンケート調査にご協力いただいた
原田研究室の先輩，同僚の皆様に謹んで感謝の意を表する．

ⓒ2012 Information Processing Society of Japan

7