Strictly Confidential

情報セキュリティ高度化
経営のトピックス C-5

Strictly Confidential

Brand promise & Tag line

日本経営システムは、お客様の思いに真摯に向き合い、課題解決に向けて目的を見定め、協同作業を通じて確かな成果に結びつけるコンサルティング企業です。
◆

お客様の変革、成長を支え続けるために、自らも進化し、すぐれた経営システムをともにつくり続けていきます。

ともに考える未来 »CopyrightⒸ 2022 Japan Management Systems, Inc. All Rights Reserved

Beyond together »2Strictly Confidential

１．情報セキュリティの３つの要素
 情報セキュリティは、「機密性」「完全性」「可用性」の３つの要素から成ります。
 自社の事業特性・環境を前提として、これらの要素に対する脅威を想定し、一貫性のあるセキュリティポリシーをつくることが望ましいと言えます。

機密性(Confidentiality)
情報が外部に漏れることなく許可されたユーザーだけが情報にアクセスできること

完全性(Integrity)

可用性(Availability)

情報が改ざんされず、正確、完全な状態が維持されること

いつでも確実に、システムの情報にアクセスできること

CopyrightⒸ 2022 Japan Management Systems, Inc. All Rights Reserved

3Strictly Confidential

２．情報セキュリティ高度化が求められる背景
 情報システムが業務に組み込まれ、高度に活用される一方、電子化された情報に関するリスクは高まっています。
 情報セキュリティに関する事故の例は枚挙に暇がなく、経営責任に至るような重大事故も発生しており、リスク管理の観点から情報セキュリティ対策の必要性は極めて高くなっています。
 技術的な対策だけでなく、人に関する対策も含めて、多角的にセキュリティ対策を講じる必要があります。

関連する要素事故の例

機密性に関係する事故

記録媒体の紛失・置き忘れ・盗難による情報漏えい
悪意ある会社関係者による情報漏えい

不正アクセスによる情報漏えい
操作ミスによる情報漏えい（メール誤送信等）

電子化の進展によって情報漏えいの原因や経路が多様化

コンピュータウイルスによる情報漏えい
完全性に関係する事故

会計情報の不正改ざんコンピュータウイルスによるデータ破壊

可用性に関係する事故

サーバーダウンによるネットワーク停止
システム障害によるサービス停止

こうした状況に対して、国も経産省の「サイバーセキュリティ経営と支援ツール」に関する情報更新等を通じて、企業への注意喚起を促している。
また、セキュリティ問題に起因する事故に対応したサイバー保険も色々と出てきており、リスクへの対応方法も多様化している。
CopyrightⒸ 2022 Japan Management Systems, Inc. All Rights Reserved

4Strictly Confidential

３．情報セキュリティのチェック項目
 下表のように、情報セキュリティに関するチェック項目は多岐にわたります。
 セキュリティ対策において、抜け漏れをなくすためには、網羅的なチェックも必要になります。
管理領域
管理項目
1.情報セキュリティ (1)情報セキュリティに関する方針・規程のための方針群
2.情報セキュリティ (1)社内体制のための組織(2)モバイル機器及びテレワーキング3.人的資源のセキュ (1)従業員との契約(雇用、退職)
リティ(2)従業艮への教育、セキュリティへの意識向上(雇用期間中)
4.資産の管理(1)資産に対する責任(2)情報の分類と取扱指針(3)媒体の取扱
5.アクセス制御(1)アクセス制御の方針設定(2)利用者アクセスの管理(3)特権的アクセス権の管理(4)パスワードの管理(5)システム及びアプリケーションのアクセス制御
6.暗号(1)暗号による管理策
7.物理的及び環境的 (1)情報や施設に対する物理的セキュリティ
セキュリティ
(2)装置･機器の安全な設置(3)装置･機器のメンテナンス(4)装置･機器の社外での利用(5)装置･機器の処分(6)端末、取外可能な媒体、重要書類の管理
CopyrightⒸ 2022 Japan Management Systems, Inc. All Rights Reserved

管理領域
8.運用のセキュリ
ティ

管理項目(1)システムの運用手順及び責任(2)マルウェアからの保護(3)バックアップ(4)ログ取得及び監視(5)脆弱性対策

9.通信のセキュリ
ティ(6)情報システム監査での考慮事項(1)ネットワークセキュリティ管理(2)情報の転送

10.システムの取得、 (1)情報システムに関する要件
開発及び保守(2)開発及びサポートプロセスにおけるセキュリティ(3)外部委託
11.供給者関係(1)外部組織との契約におけるセキュリティ(2)委託先に対する管理

12.情報ｾｷｭﾘﾃｨｲﾝｼﾃﾞ (1)情報セキュリティインシデントの管理及ﾝﾄ管理
び改善
13.事業継続ﾏﾈｼﾞﾒﾝﾄ (1)情報セキュリティ継続における情報ｾｷｭ (2)冗長性
ﾘﾃｨの側面

14.順守(1)法令･規制の順守(2)情報セキュリティのレビュー
5Strictly Confidential

４．JMSの提供価値 情報セキュリティの高度化にあたって、①業務効率性、②投資合理性の観点、③全体最適の３つの観点から、自社に適した情報セキュリティレベルを実現します。

ユーザーの問題意識▹ 情報セキュリティを強固にすることは重要課題ではあるが、どの水準で安全性を確保すべきか、その基準が分からない。
▹セキュリティを高度化するほどコストも必要となり、また業務効率性も損なわれるのではないか。
▹ 他社はどの水準まで整備しているのか気になる。その中で、自社に適した水準レベルのセキュリティを構築したい。

❶ 投資合理性を追求したセキュリティ対応の実現
・セキュリティ対応も投資案件の一つ。投資が過剰であっても、過小であっても最善な状態とはいえない。
・投資合理性を追求して自社の実施範囲を定め、コストと安全性の最適なバランスを追求する。
❷ 業務効率性も考慮したセキュリティ対応策の構築

JMSの提供価値・情報システムのセキュリティをハード面、ソフト面、業務運用面で高度化していくと、業務効率が損なわれる場合も発生する。
⇒業務効率を落とさないセキュリティ対策（ハード・ソフト・運用ルール）が、運用を担保することにも繋がるため、効率性と安全性とのバランスに留意して対応施策を定める。
❸ 全社最適の追求
・個別最適の解決案の導入ではなく、全社的観点でセキュリティ施策を設定する。
⇒そのためには現状把握が重要であり、最終的には事実に基づき経営判断としてバランスの取れた方針・施策を策定する。

CopyrightⒸ 2022 Japan Management Systems, Inc. All Rights Reserved

6Strictly Confidential

５．検討手順 情報セキュリティ高度化の検討は以下の手順で進めます。

(1) 基礎情報把握
 既存の情報システム・ハードの構成
 導入予定の情報システム・ハードの構成
 監査法人からの指摘事項やコメントの精査
 情報管理関連規程の内容把握(4) 課題整理

 方針仮説に基づく検討課題の整理
 論点の抽出(2) 予備調査インタビューの実施
 主な関係者へのインタビューを通じて以下を把握• 業務で利用しているデータ・媒体の現状• データ・媒体に関わる業務フロー• 業務運用上のリスクの洗い出し

 各論点に対する代替案設定(5)論点・仮説の集中審議(6) 基本方針の策定
 情報セキュリティに関する基本方針の取りまとめ

 各論点に対する代替案の内容
検討
 対応方向付け

 課題の優先順位づけ

 取組事項の展開(7) 実施移行計画
 今後の取組事項・手順の取りまとめ
 担当・スケジュールの作成(3) 情報分類に応じた方針仮説の整理(8) 規程原案の作成

 情報セキュリティに関する課題認識 情報の重要度・リスクに応じた分類案の設定
 各分類に応じた方針仮説整理 (粗々のガイドライン)
 対象範囲・方法論を含めた方針仮説整理

 関連諸規程の作成及び修正

トップ協議
CopyrightⒸ 2022 Japan Management Systems, Inc. All Rights Reserved

関係部門協議トップ協議
7

Strictly Confidential

６．コンサルティング事例～情報セキュリティ高度化に向けた課題整理

テーマ：情報セキュリティ高度化に向けた課題整理○会社概要■事業内容 ：土木工事用資材メーカー■顧 客：ゼネコン、工事会社■売上高：約７００億円（連結）■従業員数 ：約１０００人（連結）■関係会社 ：約３０社○トップニーズ■自社開発のクラウドサービスで、情報漏洩しかねない設定ミスがあった。
■それを機会に改めて確認すると、情報管理がされていないことや、リスクが高そうな運用がされていることに気付き、危機感を覚えた。
■そこで、情報セキュリティに関する問題の棚卸を行い、リスクの把握を対策を講じていくこととした。

○主な効果○主なコンサルティング内容[1]情報セキュリティに関する現状分析
・情報システムを管理するシステム部門、本社管理部門、工場、支店、研究所など主要部門にインタビューを実施し、システム管理体制、運用の実態、情報の管理方法など、システムそのものから運用実態まで確認し、課題の洗い出しを行った。
・課題の洗い出しにはJIS Q27001の管理項目を参考とした。
[2]情報セキュリティに関する課題展開
・JIS Q27001に基づき洗い出した課題を、後続の施策検討に結び付くよう、以下の区分けで捉え直し、課題を展開した。
①システムそのもの開発・運用②情報資産の管理③業務運用④基準・ルール[3]課題対応の施策代替案の検討・整理した課題に対し、施策案を検討。複数代替案が考えられる場合は、論点や判断ポイントを示して整理した。

■リスクの共通認識化[4]情報セキュリティポリシー案の作成
・セキュリティに関するリスクについて、今回作
・社内でのセキュリティ対策の理解と確実な運用を促すために、セキュリティポ成したガイドラインをもとに社内で共通認識化。
リシー全体と規程類の代替案を作成した上で、ステークホルダーへの対外公■セキュリティ環境の強化
・施策代替案をもとに、次の検討ステップに進み、新しいハード、ネットワーク等のセキュリティ環境構築を実施。
CopyrightⒸ 2022 Japan Management Systems, Inc. All Rights Reserved

表も念頭に置いた取りまとめを実施した。

8

Strictly Confidential

７．日本経営システムの概要 日本経営システムは、旧日本興業銀行を出自として50年の歴史を持ち、70名のプロパーコンサルタントを有するコンサルティング企業です。

１．会社概要４．日本経営システムの特長

項目

内容

会社名

日本経営システム株式会社

代表者名

山﨑

所在地

〒105-0003
東京都港区西新橋2-1-1 興和西新橋ビル11階

資本金50百万円
・みずほ銀行12％出資
・主要株主は、社員持株会、地方金融機関等

従業員

文夫

約80名（内コンサルタント約70名）

２．沿革
日本興業銀行の経営研究部を母体に、1970年5月に設立■設立趣旨：本格的なコンサルティング事業を日本に確立する■社是：つねにすぐれた経営システムを開発し社会の進展に貢献する

３．事業内容(1) 経営コンサルティング■収入の95%以上を占める、経営コンサルティング専門会社(2) 経営幹部・管理職向けのセミナー(3) 経営シリーズ (月刊) の刊行、書籍の出版

CopyrightⒸ 2022 Japan Management Systems, Inc. All Rights Reserved(1) 1,200社以上の幅広く厚みのある顧客層■創立以来、1,200社以上の様々な業種・規模の企業へのコンサルティング実績(2) 経営者が直面するあらゆる経営課題への対応■事業戦略や経営計画から、事業運営の仕組みや制度構築まであらゆるテーマ領域での実績(3) 実施まで見据えた経営コンサルティングの実施■経営者のご方針を踏まえ、経営課題の解決に向けた計画作りから実施推進までの総合的なお手伝い(4) 「完全専従方式」による「徹底した協同作業」■各社の実状に沿った注文仕立ての改善策を立案し実行に繋げる
ため、掛け持ちせず社内メンバーと共に検討(5) 経験豊富なコンサルタント集団■コンサルタント約70名の内、経験年数15年以上が半数を占め、全員が新卒採用のプロパー社員(6) 高いリピート率■繰り返しご注文を頂いているお客様からの仕事が全体の80%を占める

9

Strictly Confidential

お問い合わせ先 経営コンサルティング、経営のトピックスのお問い合わせは、お気軽に下記へお電話を下さい。責任者がお答えします。

経営コンサルティング、経営のトピックスのお問い合わせはお気軽に下記へご連絡下さい。
【お問合せ先】
副社長（営業統括）宇佐美嘉彦

マネジメントコンサルタント

山口悟司

電話番号

メールアドレス

070-3350-2243

y.usami@jmsinc.co.jp

電話番号

メールアドレス

070-3350-1407

s.yamaguchi@jmsinc.co.jp

CopyrightⒸ 2022 Japan Management Systems, Inc. All Rights Reserved10

 本資料は、貴社への提案、ディスカッションを目的として作成したものであり、弊社が信頼に足り且つ正確であると判断した情報に基づき作成されておりますが、弊社はその正確性・確実性を保証するものではありません。当該情報に起因して発生した損害については、その内容如何にかかわらず一切責任を負うことはできませんのでご注意ください。
 本資料のご利用に際しては、貴社ご自身の判断にてなされますようお願い致します。また、弁護士、会計士、税理士など専門家の判断が必要な場
合は、各々適切な専門家にご相談のうえお取り扱い下さいますようお願い申し上げます。
 本資料の著作権は弊社に属します。弊社に無断で本資料の一部または全部を、①改変・修正すること、②複写、写真複写、あるいはその他の如何なる手段で複写すること、③弊社の書面による許可なくして第三者に開示、再配布することを禁じます。弊社が承諾した場合はこの限りではありませんので、本資料の改変・修正、複写または再配布が必要な場合は事前にご相談ください。
 本資料に弊社の秘密情報を含んでいる場合は、秘密保持契約または業務委託契約に定める守秘義務の対象となります。