0サイバーセキュリティ経営の再考
CISOハンドブックが提唱する業務執行としてのセキュリティ

JNSA 社会活動部会 CISO支援ワーキンググループ
株式会社Preferred Networks 最高セキュリティ責任者
高橋

正和

CISO支援WG CISOハンドブックV2.0

CISOハンドブック• 抽選で5名様に「CISOハンドブック」のデジタル版をプレゼントします。
•

NSF2021にご参加登録メールアドレスでお申し込みください。

•

当選者には、１カ月以内にJNSA事務局(mailto:office@jnsa.org)よりご案内いたします。
※落選された方へのご連絡はございません。ご了承
ください。

•

キーワード
当日ご案内します

技術評論社

申し込みURL
https://forms.gle/o1Yb3jfbeZNmwhVH7

CISOハンドブックデジタル版（PDF）

https://direct.gihyo.jp/view/item/000000001358
1

CISO支援WG CISOハンドブックV2.0

レビューはこんな感じです2

CISO支援WG CISOハンドブックV2.0

だれが、CISOハンドブックを作ったのか？

3

CISO支援WG CISOハンドブックV2.0

JNSA CISO支援ワーキンググループ• 2015年 現MS河野さんと当時MS高橋で活動を開始• 2016年 CISO支援ワーキングループを設立• 2018年 「CISOハンドブック Ver1.0β」を公表• https://www.jnsa.org/result/2018/act_ciso/index.html• 2019年 中小企業向けとして「MY CISOハンドブック」を公表• JNSA 全国横断サイバーセキュリティセミナー2019向け資料• https://www.jnsa.org/result/2019/act_ciso/• 2021年 技術評論社より「CISOハンドブック―業務執行のための情報セキュリティ実践ガイド」を出版

CISO支援WG CISOハンドブックV2.0

執筆グループ
WGリーダー
高橋 正和

株式会社 Preferred Networks

執筆メンバー荒木 粧子
池上 美千代岡田 良太郎
唐沢 勇輔
北澤 麻理子
武田 一城
橘 喜胤
田中 朗
西尾 秀一
深谷 貴宣
福岡 かよ子株式会社ソリトンシステムズ
株式会社東芝株式会社アスタリスク・リサーチ
Japan Digital Design 株式会社
ドコモ・システムズ株式会社
株式会社ラック
楽天ウォレット
コインチェック株式会社
株式会社ＮＴＴデータ
ServiceNow Japan合同会社
株式会社インテック

他、CISO支援WGメンバー
5

CISO支援WG CISOハンドブックV2.0

どうして、CISOハンドブックを作ったのか？

6

CISO支援WG CISOハンドブックV2.0

7

経営者はセキュリティを理解しなければならないというけれど…

ホントにそうなのか!?
セキュリティがわかる経営者を待つよりも経営がわかるCISOを目指した方が良いのでは?
CISO支援WG CISOハンドブックV2.0

CISOが直面する二つの課題
所属組織
攻撃者

CISO

経営陣
社員
関係者

CISOは攻撃と向き合うだけではなく、組織内のステークフォルダーとも向き合う必要がある。
8

CISO支援WG CISOハンドブックV2.0

他の書籍と何が違うのか？

9

CISO支援WG CISOハンドブックV2.0

CISOハンドブックが目指すもの• 「CISOが経営陣の一員として成すべきこと」• 実践するのためのガイドを提供• 「経営陣がCISOと共に成すべきこと」• 経営陣がCISOを活用するための理解を促す試み• 知識の集積ではなく「成すべきこと」を俯瞰する視点• CISO業務と要素の本質的な理解の足がかかり• 経営という意味でのマネジメント• 経営という視点でのセキュリティ• ベストプラクティスとその背景• 特別損失対策からビジネス志向へ• ビジネスイネーブラとしてのセキュリティという視点

10

CISO支援WG CISOハンドブックV2.0

CISOハンドブックの背景とこれから突き詰めて考えると、CISOとして成功するってどういうこと？
内容は、当日のお楽しみ

11

CISO支援WG CISOハンドブックV2.0

CISOにとってどれが成功でしょう？
• 主要な標準・基準を理解し適切なセキュリティ対策を構築する• 最新の攻撃を把握し高度な攻撃でも適切な対処を行う• リスクに応じたコスト対効果の高い施策を行う• 売上が伸びる• 利益が伸びる
12

CISO支援WG CISOハンドブックV2.0

事業・経営の視点
サイバーセキュリティ
経営ガイドライン

Ⅰ 体制・マネジメント
の実装

要
求
事
項
と
規
範
の
視
点

• 情報セキュリティマネジメント
システム（ISMS）

ビジネスコンセプト（経営理念、方針）

Ⅲ
ITコンセプト
情報セキュリティコンセプト（理念、方針）体制・マネジメントの検証• サイバーセキュリティ演習

情報セキュリティプログラム（戦略、長期計画）

Ⅱ

対策の実装

情報セキュリティプロジェクト（アーキテクチャ、実施のフレームワーク）

情報セキュリティプラン• CISコントロール• PCI DSSⅣ 対策の検証• 脅威ベースの侵入検査(TLP)（実行計画）
アクティビティ（目標と活動計画）• 侵入検査• 脆弱性検査タスク（実施項目）
規範に対する実装状況の評価（規程・記録）攻撃のモニタリングと評価（アラート・ログ・データ）

評価とモニタリングの視点

リ
ス
ク
・
脅
威
の
視
点

DXとPDCA• かみ合わない時間軸• そもそも、開発はプロジェクトだから、PDCAは合わない• そうは云いながら、DevOpsは事業の側面がある• このため、（従来の）プロジェクト管理が馴染みにくい• セキュリティが経営に関わるのは、究極のシフトレフトか？
• 環境のテンプレート化など事前の仕込みが重要になる• リアクティブからプロアクティブ

14

CISO支援WG CISOハンドブックV2.0

プロジェクトと事業の違い• 終わりの有無• プロジェクトには想定された終わりがあるが、事業は継続が前提• 継続できなくなったら終わり（目指せ永久機関！）• うまくいったことに伴う事業の拡大に備える必要がある• 予算の考え方• プロジェクトは予算が余れば良い事だが、事業だとそうでもない• WG予算が余るのは、プロジェクトとしてみるとOKで、事業としてみるとNG• プロジェクトにBS（貸借対照表）はない• 事業にはお金の出所が付いて回る

15

CISO支援WG CISOハンドブックV2.0

CISOハンドブックをどう見てほしいか？
• 屍をさらしてみました• 知りたかったこと、概念としてまとめたかったことを書いています• いわば、自分が出来なかったこと、できたらよかった事も多いです• 究極のシフトレフトは、技術者が経営に入ることだと思います• 技術者が経営に加わる機会を得た時に、「成すべきこと」を行うための絵地図となることを目指しました

16

CISO支援WG CISOハンドブックV2.0

CISOハンドブック プレゼント• 抽選で5名様に「CISOハンドブック」のデジタル版をプレゼントします。
•

NSF2021にご参加登録メールアドレスでお申し込みください。

•

当選者には、１カ月以内にJNSA事務局(mailto:office@jnsa.org)よりご案内いたします。
※落選された方へのご連絡はございません。ご了承
ください。

•

キーワード
CISO
技術評論社

申し込みURL
https://forms.gle/o1Yb3jfbeZNmwhVH7

CISOハンドブックデジタル版（PDF）

https://direct.gihyo.jp/view/item/000000001358
17

CISO支援WG CISOハンドブックV2.0

CISO支援ワーキンググループメンバー
絶賛募集中です！

18

CISO支援WG CISOハンドブックV2.0

今後の予定19

CISO支援WG CISOハンドブックV2.0

コラム：CISOの孤独
インシデント（アクシデント）によって経営上重大な被害が生じたときに、CISOが任命されることがあります。インシデント（アクシデント）によって経営上重大な被害が生じたときは、CISOが罷免・解雇されるときでもあります。
1994年に初めてのCISOが米Citigroupで任命され、セキュリティが経営課題の1つであるという認識が広まってから十数年になりますが、セキュリティを経営戦略的にとらえ、CISOに何を求めるのか責任範囲を明確にしたうえで、適切な人材を任命するというプロセスはまだ一般的とはいえません。
いきなり抜擢され、セキュリティ強化を頑張ろうとすれば、現場からは余計な仕事を増やしたと冷ややかな目で見られ、経営層・株主からはセキュリティ・コストの妥当性を追求され、問題が起きれば、メディアの激しいフラッシュに目をしばたたかせながら、インシデントは絶対起きないはずではなかったのかとステー
クホルダーに詰め寄られる、かくのごとく、CISOは社内外で孤独な立場に陥りやすい役職です。
とあるCISOは20年のキャリアを振り返って「よく頑張ったし、いくつかの戦闘では勝利もしたが、戦争には負けた。一人きりで感謝されることもない、終わりの見えない辛い仕事だった」という言葉を残しています。
こうした満身創痍・四面楚歌のCISOにしか分からない孤独と苦悩をわかち合い、解決のヒントと心の平安を求めて、業界を超えたCISO同士のラウンド・テーブルでの情報交換、ネットワーキングが、世界中で活発に行われています。
本書もこうしたCISO業務に取り組む方々の手助けとなることを願っています。
CISOs' Cyber War: How Did We Get Here? (Profile of Jack Miller ,Chief Information Security Officer of SlashNext)
https://www.darkreading.com/vulnerabilities---threats/cisos-cyber-war-how-did-we-get-here/a/d-id/1330737
20

CISO支援WG CISOハンドブックV2.0

21

今後の予定
• メンバーからのクレーム• 読んでるとわかった気になるが、業務で使おうと思うと使えない（T氏）• WGの次のステップ• CISOハンドブックを業務に展開する資料を作ろう• リスク分析• セキュリティ計画
• 報告書
• その他

• 取り上げた事例や手法を掘り下げてみる？
• 定量リスク分析は興味深い• マチュリティモデルの展開も興味深い• 他に、面白いことはできないかな？
CISO支援WG CISOハンドブックV2.0

ここから先は、内容の抜粋

22

CISO支援WG CISOハンドブックV2.0

CISOハンドブックの概要（目次から）

23

CISO支援WG CISOハンドブックV2.0

CISOハンドブック 目次• 第1章 情報セキュリティの目的• 第2章 情報セキュリティマネジメントの基礎知識• 第3章 基本となる経営指標• 第4章 情報セキュリティの指標化• 第5章 モニタリングと評価手法• 第6章 情報セキュリティ監査• 第7章 情報セキュリティアーキテクチャ• 第8章 DXと情報セキュリティ• 第9章 クラウドファーストの情報セキュリティ• 第10章 情報セキュリティインシデント対応と報告• 第11章 製品選定とベンダー選定• 第12章 CISOの責務と仕事• 第13章 経営陣としてのCISOへの期待
24

Annex A 事業計画策定例
Annex B CISOダッシュボード
Annex C 情報セキュリティ対策の標準化と自動化の流れ
Annex D EDC 手法を使った
セキュリティ対策効果の試算
Annex E Need to Know 再考
Annex F 新型コロナウイルス後のセキュリティ
Annex G セキュリティインシデントの推移
Annex H 情報格付け

CISO支援WG CISOハンドブックV2.0

目次

１－３

• 第1章

情報セキュリティの目的• ビジネス視点でセキュリティを捉えなおす• 第2章

情報セキュリティマネジメントの基礎知識• リスク分析・エンタープライズリスクマネジメント• CISコントロールズとサイバーセキュリティフレームワーク• 経営サイクルと情報セキュリティマネジメントサイクル• マネジメントサイクルに沿った報告• 第3章

基本となる経営指標• 経営における「数字」の重要性• 財務会計と管理会計• ファイナンス
25

CISO支援WG CISOハンドブックV2.0

CIAをビジネスリスクに展開
Confidentiality
（機密性）

経営への
影響

Integrity（完全性）

競合優位性の低下：競合の躍進、評判の低下
費用的な損失：損害賠償、営業機会損失
事業への影響：営業停止
ストーキング
秘密の暴露
スパイ行為

システム誤作動
偽の発注・契約
紛争の誘発システムの停止
社員間の連絡できない
社外との連絡できない
売上が立たない

利用状況の漏洩
画像・音声の漏洩
踏み台による漏洩

プログラム等の改ざん
データの改ざんプログラム等の改ざん制御データの改ざん
通信経路の遮断

事象・事件・事故想定されるセキュリティ侵害

情報資産・ITセキュリティ

Availability（可用性）

ソフトウェアの脆弱性
設定の不備
プロトコルや暗号の不備
ネットワークや通信の不備
26

運用上の不備
利用者による改造
認証の不備
ワーム・ウィルス
CISO支援WG CISOハンドブックV2.0

セキュリティの二つの視点②-1 ビジネス基盤としての売上への貢献売上原価①-3 セキュリティ施策に対する投資対効果
売上①-2 売上減少等につながるリスク(ビジネスインパクト)

販管費および一般管理費

凡例

売上
総利益
②-2 ビジネス基盤としての利益への貢献

営業外損益等
営業利益

経営利
益

特別損益
純利益

27

①-1 特別損失を発生させるリスク① 特別損失を中心としたセキュリティ評価項目②ビジネス基盤としてのセキュリティ評価項目

CISO支援WG CISOハンドブックV2.0

ERM:エンタープライズリスク
ISO31000外部/内部状況とリスク項目例 (JIS Q 31000及びデロイト)
主要な要因

分類
政治
金融

外
部
状
況

国際、国内、社会または近隣地域を問わず、社会及び文化、政治、法律、規制、金融、技術経済、自然並びに競争の環境

朝鮮半島情勢 / 中国・ロシアにおける政治情勢
東南・南アジアにおけるテロ等 / 中東・中近東におけるテロ、政治情勢
アフリカにおけるテロ、政治情勢

経済

景気変動、金融危機、財政難 / 原材料並びに原油の高騰
金融犯罪

社会及び文化

不買運動の発生 / 流通システムの変化（小売店とAmazon）

技術

技術・技術領域の変化・陳腐化

法律/規制

法改正や業界基準変更時の対応の遅れ / 知的財産権侵害
公害等の環境関連法規制対応 / 法令順守違反 / 訴訟被害

自然

地震・風水害等、災害の発生 / 疫病の蔓延（パンデミック）等の発生

競争の環境

市場における価格競争

組織の目的に影響を与える主要な原動
力及び傾向
外部ステークホルダとの関係並びに外部ステークホルダの認知及び価値観

リスク項目の例

N/A
株主
顧客
取引先他

株主訴訟 / 風評被害などによる株価の下落 / 敵対的買収
風評被害・不買運動等の発生
サプライチェーン寸断28

CISO支援WG CISOハンドブックV2.0

ERM:エンタープライズリスク
ISO31000外部/内部状況とリスク項目例 (JIS Q 31000及びデロイト)
主要な要因

分類
統治

統治、組織体制、役割及びアカウンタビリティ

体制

役割方針、目的及びこれらを達成するために設定された戦略
資源及び知識として把握される能力

経営戦略
事業計画
資本

（例えば、資本、時間、人員、プロセス、システム、技術） 人間/時間

内
部
状
況

内部ステークホルダとの関係並びに
内部ステークホルダの認知及び価値観
組織の文化
情報システム、情報の流れ及び意思決定プロセス（公式及び非公式の両方を含む）

組織が選択した規格、指針及びモデル契約関係の形態及び範囲

プロセス/システム
技術
組織の行動原理
組織の思考様式
情報資産
情報処理
物理的範囲*
リスク評価・分析
規格/指針
モデル

リスク項目の例
財務報告の虚偽記載
役員・従業員の不正・贈収賄等 / 経営の機能不全
子会社に対するガバナンス不全 / 買収号の事業統制不全
N/A
製品/サービスの品質チェック体制の不備リコール
設備事故
業務運用ミスによる多額損失発生
品質管理
コンダクトリスク
カルテル談合等の組織不正サイバー攻撃・ウイルス感染 / 情報漏洩
大規模システムダウン・情報逸出*情報資産を取り扱う物理的範囲

N/A

従業員との契約

人材流出、人材獲得の困難による人材不足
人件費高騰 / 過労死、長時間労働問題の発生 / 労使問題

取引先との契約29

顧客対応の不備CISO支援WG CISOハンドブックV2.0

セキュリティ対策の階層化と象限
事業・経営の視点
Ⅰ 体制・マネジメントの実装
サイバーセキュリティ
経営ガイドライン

要
求
事
項
と
規
範
の
視
点

ビジネスコンセプト（経営理念、方針）

Ⅲ

ITコンセプト•

情報セキュリティマネジ
メントシステム（ISMS）

コンセプト（理念、方針）• サイバーセキュリティ演習

プログラム（戦略、長期計画）•

CISコントロール• PCI DSS

セキュリティ
プロジェクトマネジメント（アーキテクチャ、フレームワーク）（体制と手順）情報セキュリティプラン（実行計画）

対策の実装• 脅威ベースの侵入検査(TLP)

アクティビティ（目標と活動計画）
タスク（実施項目）

Ⅱ

体制・マネジメントの検証

規範に対する実装状況の評価（規程・記録）攻撃のモニタリングと評価（アラート・ログ・データ）

評価とモニタリングの視点

リ
ス
ク
・
脅
威
の
視
点

• 侵入検査• 脆弱性検査

Ⅳ

対策の検証

目次 4-6• 第4章

情報セキュリティの指標化• コストとしての情報セキュリティ• 情報セキュリティ指標を経営の数字に展開（BSC）• 第5章

モニタリングと評価手法• 組織情報のセキュリティ成熟度評価（C2M2）• 実装レベルのモニタリング（CISコントロールズの実装）• サイバー攻撃への対応能力評価（Red Teaming/TLPT)• 第6章

情報セキュリティ監査• 情報セキュリティ監査の目的と監査の分類• 監査人の選び方• CISOは監査報告をどう活かすのか
32

CISO支援WG CISOハンドブックV2.0

Union Pacificの事例
リスク確率モデル
26の主要業務

事業の運営
安全な運行
スケジュール維持

過去のデータや
外部ソース

回復力スコアモンテカルロシミュレーション

停電の影響

資産のクラス化

事業への影響に関するデータ

50%の確率で年に1000万ドルの損害が基準

サイバー攻撃の影響を理解するための参考

リスク評価の4つの視点• 保険数理• 監査人（コンプライアンス）• 法律顧問• サイバーリスク評価チーム

リスクカーブ

リスク軽減のための追加投資の判断リスク許容カーブ＋財務部門による費用・機会損失の算出＋社内外ソースに基づくインシデント発生確率の算出

下記資料を基に高橋が作成
Union Pacific tracks cyber risk via its own probability modeling methodology
https://www.scmagazine.com/infosec-world-2020/union-pacific-tracks-cyber-risk-via-its-own-probability-modeling-methodology/
JNSA CISOハンドブック v2.0β for DBSC 2020

戦略マップ：テレワーク導入
財務の視点

YoY 売上の増大 25%

新製品からの売上 30%

売上高増大
顧客の定着率 80%
顧客のシェア 40%

顧客の視点
新規顧客の獲得

革新的製品
多くの新製品を投入
市場への投入率 75%
市販の時期 9か月

内部の視点
新製品開発

見本市での出展

BPRの実施関係管理の実施

成果給の導入優秀な職員の保持率 95%

専門職の利用可能性 100%

学習の視点能力の高い従業員

教育・訓練

給与制度の改革34

テレワークの導入
CISO支援WG CISOハンドブックV2.0

目次 7-8• 第7章

情報セキュリティアーキテクチャ• 情報セキュリティアーキテクチャの基本要素• エンタープライズセキュリティアーキテクチャ• SABASA,COBIT, TOGAF, ITIL

• ゼロトラスト• 第8章

DXと情報セキュリティ• DXとテクノロジー• OODA, アジャイル, DevOps• DXのセキュリティとPDCA• CISOはいかにDXに貢献できるのか

35

CISO支援WG CISOハンドブックV2.0

DevOpsとCISOの仕事
Dev:開発・改善・改修

Ops: 実システム運用

CISO:システムに潜在するセキュ
リティ・リスク、ビジネス・リス
クについてクリアにする活動を監修する。
• Devチームが解決に着手できるための十分な情報はスピーディに行き届いているか。
• 修正プロセスのスピードとコス
トはビジネスリスク対応に適合しているかどうか。

CISO: モニタリングとオペレー
ションのデリバリー、情報収集、分析を監修する。
• コストとスピードがビジネスリスクに適合しているか。
• 個別のインシデントについて、どの段階を担当する者が対応にあたるべきか(DevかOpsか
SREか)示唆する。
• 分析から得られたリスクの優先順位付けを評価し、改善サ
イクルにアウトプットしているか。
共通：CISOによるガバナンス支援・ビジネス戦略に適合した指針が与えられているか
・適切な訓練とガイダンスが与えられている状態にあるか・コンプライアンスの変化がDevOpsにもたらす影響は何か
36

CISO支援WG CISOハンドブックV2.0

PDCAとDevOps/DXのイメージ DevOps / DX

【F1 2019】AI100 予選＆５LAPレース（テスト）【ロシアGP 】 https://youtu.be/VmnZaOXxzSk

ジョン・サーティース
RA301（1968年）

PDCA
ホンダF1参戦の歴史 第1期
https://www.honda.co.jp/F1/spcontents2006/history/01/

37

テレメトリーシステムとは？ | F1用語集 | Formula1-Data (formula1-data.com)2019年
CISO支援WG CISOハンドブックV2.0
https://formula1-data.com/glossary/car/body/telemetry-system

目次 9-10• 第9章

クラウドファーストの情報セキュリティ• クラウドサービス評価時の考慮点• 実践的な情報セキュリティ評価• セキュリティの主要な評価要素• 蔵度サービスをセキュアに利用するために• 第10章情報セキュリティインシデント対応と報告• 情報セキュリティインシデントとCSIRT• セキュリティインシデントの推移• 新しい領域のインシデント• 脆弱性評価• インシデントを想定したセキュリティ評価
38

CISO支援WG CISOハンドブックV2.0

考慮すべき法令・基準
個人情報を取り扱う際に適用される法令
名所
個人情報の保護に関する法律（個人情報保護法）
General
Data
Protection（GDPR）一般情報保護指令

種類

Regulation

California Consumer Privacy Act（CCPA）

対象

概要

法令

日本在住の個人の個人情報

法令

EU域内在住の個人の個人情報

法令

CA在住の個人の個人情報

個人情報の取り扱いについて定めた法律
欧州連合（EU: European Union）によって定められたプライバシーとセキュリティに関する法律
カリフォルニア州（CA: California）によって定められた消費者のプライバシー保護に関する法律

データに基づき適用される基準
名所

種類

対象

概要

Payment Card Industry Data Security
Standard（PCIDSS）

基準

クレジットカード情報（業界）3省3ガイドライン

基準

医療情報（日本）

HIPAA

法令

医療情報（米国）

クレジットカード保持者データ（CHD: Cardholder Data）を安全に取り扱う事を目的として策定されたセキュリティ基準
厚生労働省、経済産業省、総務省が定める医療情報を委託、クラウドサービス上で安全に利用することを目的として策定された
ガイドラインの総称保護された医療情報のセキュリティとプライバシーの保護に関する監査業界に適用される法令・基準
名所

種類

対象

概要

金融機関等コンピュータシステムの安全
対策基準

基準

金融機関（日本）

金融情報システムセンター(FISC)が定める金融情報システムの安全対策について定めた基準

政府機関等の情報セキュリティ対策のための統一基準群

基準

政府機関（日本）

厚生労働省、経済産業省、総務省が定める医療情報を委託、クラウドサービス上で安全に利用することを目的として策定された
CISO支援WG CISOハンドブックV2.0
ガイドラインの総称

39主要な国際標準
規格、認証

説明

ISO/IEC27001

ISMS適合性評価制度として知られている通り、組織の情報セキュリティマネジメントをISO/IEC 27001（JIS Q 27001）に基づき評価する仕組み。

ISO/IEC27017

ISO/IEC27001に基づくISMS認証に加えて、その適用範囲に含まれるクラウドサービスの提供または利用に関して、ISO/IEC27017に規定されるクラウドサービス固有の管理策が実施されていることを認証する仕組み。

ISO/IEC27018

ISO/IEC27001に基づくISMS認証に加えて、CSPがISO/IEC27018に規定される個人情報をクラウド上で管理するにあたっての管理策が実施されていることを認証する仕組み。

SOC1(System andOrganization Controls 1)

米国公認会計士協会（AICPA）が定める、財務報告書に係る内部統制の評価を目的として、業務委託先を審査する仕組み。特定の時点における内部統制の整備状況を評価するType1レポート、運用状況を含めた評価を実施するType2レポートがある。

SOC 2

米国公認会計士協会（AICPA）が定める、情報セキュリティ、プライバシーに関する内部統制を評価する仕組み。特定の時点における内部統制の整備状況を評価するType1レポート、運用状況を含めた評価を実施するType2レポートがある。

SOC 3

SOC2と同様の評価が行われるが、内部統制の個々の評価手続き・評価結果は開示されず、総括的で定型的な評価結果と印象取得に係る意
見のみを開示する。

Security Trust
Assurance andRisk（STAR）

クラウドセキュリティアライアンス（CSA）によって管理、運営されているプログラム。STARプログラムは、実施した審査により3つのレベル分けをしています。

クラウドセキュリティ（CS）マーク

CSPが行う情報セキュリティマネジメントの取り組み状況に関する内部監査ついて、JASAが定めるクラウド情報セキュリティ管理基準に準拠した監査が適切に行われているかを評価する。申請により認定されるCSシルバー、外部監査が行われ、認定されるCSゴールドの２種類がある。

プライバシーマーク

一般財団法人日本情報経済社会推進協会 (JIPDEC)によって管理、運営される、事業者が個人情報の取り扱いを適切に行う体制を整備していることを認定する制度。
40

CISO支援WG CISOハンドブックV2.0

各国の規格・認証
規格、認証
政府情報システムのためのセキュリティ評価制度（ISMAP）（認定）

国

説明

日本

日本政府機関が使用するクラウドとしての認証制度。
政府が求めるセキュリティ要求を満たしているクラウドサービスを予め評価・登録することにより、政府のクラウ
ドサービス調達におけるセキュリティ水準の確保を図る。

FedRAMP米国

米国政府機関が使用するクラウドとしての認証制度。
（Federal Risk and Authorization Management Program）
連邦情報セキュリティマネジメント法（FISMA）に基づき、クラウドサービス導入の際したセキュリティ認証基準。
米国省庁が利用するには、FedRAMPの取得が必要。

Government-Cloud(G-Cloud)

イギリス

英国政府機関が運営する、政府機関向けクラウド・コンピューティング・サービスの調達フレームワーク。

Cloud Computing
Compliance Criteria
Catalogue（C5）ドイツ

ドイツ政府機関とその関連団体がパブリック クラウド ソリューションを導入する際の必要最低限のクラウド セ
キュリティを定めた監査標準。

Information Security
Registered Assessors
Program （IRAP）

オーストラリア

オーストラリア政府機関が運営する、オーストラリア政府のICT（情報通信技術）システム導入におけるセキュリ
ティ評価を提供するための仕組みであり、民間企業や公共団体のサービスは本仕組みに基づく審査、認証を取得することができる。

Multi-Tier Cloud Security
シンガポールStandard Singapore
Standard （MTCS SS)

シンガポール政府機関が定めるクラウドセキュリティの認証であり、CSPは独立した MTCS 認証機関による監査を受けることにより、認証を受けることができます。

41

CISO支援WG CISOハンドブックV2.0

実践的CSPセキュリティ評価
ENISA: Cloud Security Guide for SMEs
ENISA: 中小企業のためのクラウドセキュリティガイド
本ガイドは、中小企業がクラウドサービスを調達する際に考慮すべき、セキュリティリスクと要件(Opportunity)を理解するための支援を目的としている。
本書には、一連のセキュリティリスクとセキュリティ
要件、および中小企業がプロバイダのセキュリティレ
ベルを理解するために利用できるセキュリティに関する質問のリストが含まれています。リスクと要件は、
セキュリティ上の質問とリンクしているため、最終的な結果は、ユーザのニーズや要件に応じてカスタマイズすることができる。この情報は、2つのユースケー
スの例と、適用されるデータ保護法と各国の関係当局の概要を示す付録によってサポートされている。
https://www.enisa.europa.eu/publications/cloud-securityguide-for-smes (日本語訳：CISO支援WG)

42

https://www.jnsa.org/result/2019/act_ciso/

CISO支援WG CISOハンドブックV2.0

目次 11-13• 第11章

製品選定とベンダー選定• セキュリティソリューション検討時の留意点• ベンダー選定時の留意点• 第12章CISOの責務と仕事• CISOの役割と推移• サイバーセキュリティ経営ガイドライン• 米国におけるCISO像• 第13章経営陣としてのCISOへの期待

43

CISO支援WG CISOハンドブックV2.0

CISO COPASS: CISOの歴史
1990s-2000
1

限定的な
セキュリティ =
ログオンと
パスワード
最初のCISO 1995年• 情報は外部に興味深いものではない• 汎用機からPC/LAN、
インターネットへ• セキュリティ＝ FW＋AV

IT業務の一環としてのセキュリティ• ITの領域に留まる• 技術指向のセキュ
リティ• CIOの登場

2000-2004

4

3

2

2016-2020s

2008-20162004-2008

脅威対応のセキュリティ
ソーシャル、モバ
イル、クラウド
CISO

規制遵守の時代CISOの採用

リスク指向
CISOの普及・浸透

代表的な規制• HIPPA (1996)• Gramm-LeachBliley Act(1999)• Sarbenes-Oxley
Act(2002)• California breach
notification law S.B.
1386(2003)

リスクレベルに応じた投資と保護• チェックリストと委員会制度の限界
セキュリティ事故と複雑化するセキュリ
ティ領域• 技術スキル＋ソフ
トスキル(ISC)2• NIST SP800-53*

ITと社会環境の変化• スマートフォン• SNS• BYOD• 生活形態の変化と企業での利用
• 新技術の業務活用

100%の規程遵守• 深い技術よりも、規制の理解、保護、管理、技術、運用の安全策を提供できる人

CISOの普及・浸透• IT部門に留まる• 情報セキュリティ
は組織リスク（GRC**)• 法務部門（規制）• プライバシー部門

CISO:技術者・マーケ
ティング・政治家• 業務部門とのコン
フリクト• 新しいアプローチ
が必要*NIST SP800-53（「米国連邦情報システムのセ
キュリティおよびプライバシー管理の管理策」**GRC: Governance Risk Compliance 44

Todays and Tomorrow

5
プライバシーと
データ対応 CISO

プライバシーの懸念と分散するデータ• GDPR• Cloud• オフシュア
• ベンダー
CISO:上級管理職のパートナー• 全社リスク対策• イニシアチブ*• 国家・犯罪攻撃への対応• プライバシの評価• アジャイルビジネ
スのサポート
第1/第3象限へ集中
**

国際的な
政府規制の
強化

組織文化

社会的
文化的な
トレンド

プライバシ
規定の準拠

CISO フォー
カス領域

外部監査
内部監査

技術の進歩
の取り込み

新製品と
新サービス

アウトソース*イニシアティブ：重要な企業活動のことだと考えられる**第1象限：重要で緊急
出典：CISO COMPASS by TODD FITZGERALD
第2象限：重要ではないが緊急高橋による翻訳と構成

会社法と役職
会社法の機関等

監査役
選任
解任

従業員：決定事項の実行

会社法の役員

監査

会計参与
主に監査役を置かない場合

計算書類の作成

取締役会：意思決定
代表取締役(業務執行役員)

株主総会
選任
解任

取締役
取締役
取締役
取締役

執行役員は「重要な使用人」に該当するが、本部長、部長、課長等と同様に会社が任意で呼称する役職

選任
解任

執行役員

取締役
取締役
取締役
取締役
(業務執行役員)

選任・解任
執行役
指名委員会等設置会社(任意にCEO,COOと呼称することもある）

社長、会長、副社長、専務、常務等も任意の呼称

第3章 基本となる経営指標

46

CISO支援WG CISOハンドブックV2.0

BS, P/Lの関係

原資
負債＋純資産期首
B/S:貸借対照表

因果関係の方向が、技術系と違う点がわかりにくくしている
左から右に因果関係を記述して、HIPO的に表記してみる

INPUT

PROCESSOUTPUT

資産

オペレーション（事業・活動）

売上・原価

P/L損益計算書

期末
B/S:貸借対照表

時間47

CISO支援WG CISOハンドブックV2.0

財務諸表に対する3つの目線
銀行・格付け会社目線（安定性）

経営者目線（収益性・成長性）

投資家目線（資本効率性）
出典：現場で使える決算書思考
48

CISO支援WG CISOハンドブックV2.0

B/SとP/Lの構成による財務指標の変化

49
CISO支援WG CISOハンドブックV2.0

事業計画：７つの質問
1.
2.
3.
4.
5.
6.
7.

あなたの製品は何か
顧客は誰か
誰が売るのかどれだけの人が買うのか設計・製造のコストはいくらか
価格はいくらか
黒字転換はいつか
黒字転換

費用≒
設計＋製造
＋販売コスト

良いビジネス（儲かります）！は、どういう意味なのか• いつになったら儲かるのか？
• 儲かる前に潰れることはないのか？
• 本当にお金になる気配があるのか？

売上≒購買人数 x 価格

黒字転換

変動費
固定費

変動費

単年度費用≒
単年度の費用

固定費
初期費

初期費
出典：シリコンバレー流意思決定 ビジネスを成功させる7つの質問

単年度
黒字転換

50

CISO支援WG CISOハンドブックV2.0

4種類の事業計画の比較
セキュリティトレーニング事業の計画（3年後の期末を評価）
•
•
•
•

51

事業計画１：オンプレミス
事業計画２：クラウド2年で黒字化
事業計画３：クラウド1年で黒字化
事業計画４：資格認定を伴うサブスクリプション

CISO支援WG CISOハンドブックV2.0

むすび

52

CISO支援WG CISOハンドブックV2.0

コラム：CISOの孤独
インシデント（アクシデント）によって経営上重大な被害が生じたときに、CISOが任命されることがあります。インシデント（アクシデント）によって経営上重大な被害が生じたときは、CISOが罷免・解雇されるときでもあります。
1994年に初めてのCISOが米Citigroupで任命され、セキュリティが経営課題の1つであるという認識が広まってから十数年になりますが、セキュリティを経営戦略的にとらえ、CISOに何を求めるのか責任範囲を明確にしたうえで、適切な人材を任命するというプロセスはまだ一般的とはいえません。
いきなり抜擢され、セキュリティ強化を頑張ろうとすれば、現場からは余計な仕事を増やしたと冷ややかな目で見られ、経営層・株主からはセキュリティ・コストの妥当性を追求され、問題が起きれば、メディアの激しいフラッシュに目をしばたたかせながら、インシデントは絶対起きないはずではなかったのかとステー
クホルダーに詰め寄られる、かくのごとく、CISOは社内外で孤独な立場に陥りやすい役職です。
とあるCISOは20年のキャリアを振り返って「よく頑張ったし、いくつかの戦闘では勝利もしたが、戦争には負けた。一人きりで感謝されることもない、終わりの見えない辛い仕事だった」という言葉を残しています。
こうした満身創痍・四面楚歌のCISOにしか分からない孤独と苦悩をわかち合い、解決のヒントと心の平安を求めて、業界を超えたCISO同士のラウンド・テーブルでの情報交換、ネットワーキングが、世界中で活発に行われています。
本書もこうしたCISO業務に取り組む方々の手助けとなることを願っています。
CISOs' Cyber War: How Did We Get Here? (Profile of Jack Miller ,Chief Information Security Officer of SlashNext)
https://www.darkreading.com/vulnerabilities---threats/cisos-cyber-war-how-did-we-get-here/a/d-id/1330737
53

CISO支援WG CISOハンドブックV2.0

54

今後の予定
• メンバーからのクレーム• 読んでるとわかった気になるが、業務で使おうと思うと使えない（T氏）• WGの次のステップ• CISOハンドブックを業務に展開する資料を作ろう• リスク分析• セキュリティ計画
• 報告書
• その他

• 取り上げた事例や手法を掘り下げてみる？
• 定量リスク分析は興味深い• マチュリティモデルの展開も興味深い• 他に、面白いことはできないかな？
CISO支援WG CISOハンドブックV2.0

CISO支援ワーキンググループメンバー
絶賛募集中です！

55

CISO支援WG CISOハンドブックV2.0

56

CISO支援WG CISOハンドブックV2.0