0CISOの視点からサイバーセキュリティ経営を俯瞰する
CISOハンドブックが提唱する業務執行としてのセキュリティ

JNSA 社会活動部会 CISO支援ワーキンググループ©2023-2024, JNSA CISO支援ワーキンググループ.

Copyright and License

著作権 © 2023-2024 JNSA CISO支援ワーキンググループ. 本著作物は、Creative
Commons Attribution Share-Alike 4.0 ライセンスの下で公開されています。再利用や配布を行う場合は、この作品のライセンス条項を明らかにする必要があります。
営利目的の利用をご検討される場合は、JNSA(sec@jnsa.org)までご相談ください。
Copyright © 2023-2024 The JNSA CISO support working group. This document is released
under the Creative Commons Attribution Share-Alike 4.0 license. For any reuse ordistribution, you must make it clear to others the license terms of this work.
Please contact the JNSA(sec@jnsa.org) when considering commercial use.

© 2023-2024, JNSA CISO Support Working Groupこのドキュメントについて•

CISO支援WGでは、CISOの業務に役立つガイダンスやツールを提供するため、「CISOハンドブック」と「CISOのためのセキュリティ戦略」の2冊を出版しました。

•「CISOハンドブック」は、CISOが経営陣の一員として何をすべきかに焦点を当て、実践的なガイドを提供しています。さらに、経営陣がCISOをどのように活用すべきかを理解し、経営陣がCISOとともに何を達成すべきかを示す試みでもあります。
本ドキュメントは 「CISOハンドブック」に記載されている基本的な内容をご紹介するものです。

•「CISOのためのセキュリティ戦略」は、セキュリティ対策のデバッグ（システムテスト）を目的とし、イベントをインプット、開示すべき情報をアウトプット、セキュリティ対策をプロセスと位置づけたもので、CISOハンドブックで述べている内容を、具体的なシナリオに落とし込む試みでもあります。

•「 CISOのためのセキュリティ戦略」の内容については、「 20 ワークショップ進行用資料」をご参照ください。

©2023-2024, JNSA CISO支援ワーキンググループ.

2

CISO支援WG関連書籍
CISOのための情報セキュリティ戦略～危機から逆算して攻略せよ～
高橋 正和（著）
JNSA CISO支援ワーキンググループ（協力）CISOハンドブック―業務執行のための情報セキュリティ実践ガイド
著作： JNSA CISO支援ワーキンググループ

出版社 : 技術評論社
発売日 : 2023/1/21
単行本（ソフトカバー） : 200ページ
ISBN978-4-297-13294-1 C3055

出版社 : 技術評論社
発売日 : 2021/1/20
単行本（ソフトカバー） : 400ページ
ISBN-13 : 978-4297118358

事業責任者の立場になってみると業務執行に関する資料が見つからない• 経営の書籍≒経営者の成功物語かMethod（手法）• マネジメントの書籍≒庶務管理• 業務を執行する当事者目線の資料がないハンドブックは悪くないが実務への展開が難しい
by WGメンバー
ハンドブックを補完する内容として目指したこと• 網羅性から、具体的なシナリオへ• 計画の策定から、計画の検証とコミュニケーションへ• わかるから、出来るへ©2023-2024, JNSA CISO支援ワーキンググループ.

3

CISO ハンドブックの構成
1. 情報セキュリティの目的

D. EDC手法を使ったセキュリティ対策効果の試算
B. CISO ダッシュボード

2. 情報セキュリティ
マネジメントの基礎知識

3. 基本となる経営指標

4. 情報セキュリティの指標化

12. responsibilities and tasksof the CISO

9. クラウドファーストの情報セキュリティ

5. モニタリングと評価指標

13. as a member of themanagement team
Expectations of CISO

11. 製品選定とベンダー選定

A. 事業計画策定例

F. 新型コロナウイルス後のセキュリティ

6. 情報セキュリティ監査
10. 情報セキュリティ
インシデント対応と報告
7. 情報セキュリティ
アーキテクチャH. 情報格付けC. 情報セキュリティ対策の標準化と自動化の流れ

E. Need to Know 再興

8.DXとセキュリティ

G. セキュリティ
インシデントの推移©2023-2024, JNSA CISO支援ワーキンググループ.

4

業務執行としての情報セキュリティ©2023-2024, JNSA CISO支援ワーキンググループ.

5

料理で考える本講演の論点
ソリューションのスキーム
Research
素材と鮮度の探求

Best of breed（最高の材料）
セキュリティ製品・サービス

料理人としてのシェフ
担当責任者としてのシェフ
経営者としてのシェフ

Skilled Operation
熟練の料理人専門家のスキーム

良い素材x良いレシピ＝良い料理

素材とレシピがあれば出来る？
Unskilled Operation
非熟練者

ここにフォーカスしすぎてないか？

最高！

オーダーは、この料理なのか？

事業（ユーザー企業）のスキーム
ひどい・・・

良い素材x良いレシピ≠良い料理

Research
器具と調理法の探求

CISO

Best Practice（最高の方法論）
セキュリティ規範・規準

こいつをどうにかしないとダメなんじゃないか？

©2023-2024, JNSA CISO支援ワーキンググループ.

結果から考えないとダメ？
6CISOが直面する二つの課題
このドキュメントの主要な対象

所属組織

攻撃者

CISO

経営陣
社員関係者

CISOは攻撃と向き合うだけではなく、組織内のステークフォルダーとも向き合う必要がある。
©2023-2024, JNSA CISO支援ワーキンググループ.

7典型的な対立関係
事業推進の視点

情報セキュリティの視点

すぐやりたい・試したい

評価と検証が不可欠

走りながら考えたい

実施手順が不可欠

今期の売上を考えたい

リスク対応が不可欠

事故が起きたことはない

世界中で事故が起きている
事故前提の対応が不可欠

事業リスクの文脈

情報セキュリティリスクの文脈「攻め」のセキュリティ
自社ビジネスの基盤としてのIT「守り」のセキュリティ
一般化されたセキュリティ対策（スタビライザーとしてのセキュリティ）（ブレーキとしてのセキュリティ）©2023-2024, JNSA CISO支援ワーキンググループ.

でも...
「責任を取る」
ことはない
No Incidentを担保できない

8

CISOハンドブック
中心となる論点©2023-2024, JNSA CISO支援ワーキンググループ.

9セキュリティリスク・ビジネスリスク
ビジネス/ビジネスリスクの文脈

ITセキュリティリスクの文脈

情報

売上への貢献・影響事
業

成功要因としてのセキュリティ

資売上原価

I

基

T と盤

しと売上て販管費および一般管理費てのI
T

特別損失を防ぐためのセキュリティのし利益への貢献・影響

産

売上総利益

営業外損益等
営業利益

経営利
益

特別損益

特別損失を防ぐ

純利益©2023-2024, JNSA CISO支援ワーキンググループ.

10

専門用語を共通言語化する
Confidentiality（機密性）

事業・経営への影響

事象・事件・事故想定されるセキュリティ侵害

情報資産・ITセキュリティ

Integrity（完全性）

Availability（可用性）

競合優位性の低下：競合の躍進、評判の低下
費用的な損失：損害賠償、営業機会損失
事業への影響：営業停止
ストーキング
秘密の暴露
スパイ行為

システム誤作動
偽の発注・契約紛争の誘発システムの停止
社員間の連絡できない
社外との連絡できない
売上が立たない

利用状況の漏洩
画像・音声の漏洩
踏み台による漏洩

プログラム等の改ざん
データの改ざんプログラム等の改ざん制御データの改ざん
通信経路の遮断ソフトウェアの脆弱性
設定の不備
プロトコルや暗号の不備
ネットワークや通信の不備©2023-2024, JNSA CISO支援ワーキンググループ.

運用上の不備
利用者による改造
認証の不備
ワーム・ウィルス

11

セキュリティを成功要因として位置づける
成功要因としての情報セキュリティ

一般化した事業戦略

財務の視点

顧客の視点

内部の視点

学習と成長の視点

売上/利益

ROI/ROE

潜在リスク

キャッシュフロー

事業に負の影響を与えるITリスク

ビジネス・オブジェクティブ
・顧客に提供する価値の創造
・競争力の強化・ブランド力強化

付加価値としてのセキュリティ

プロセス・手法・モデル
・リードタイムの削減
・新製法・新手法の開発
・カンバン方式・セル方式

セキュリティ対策の自動化・テンプレート化

ITの利活用・多様なIT環境やツールの利用・情報の収集と分析
・顧客等との関係構築

情報セキュリティに係るリスク管理
防止・最小化

事業ドメインのリスク（顧客のリスク）
プライ
制御系
製品安全
データ
バシー
コンプライアンス

脆弱性等の対応

基本的なITリスク（内部のリスク）
ISMS

SDL

情報システム・開発環境
・オフィス・工場などのセキュリティ

マチュリティレベルの向上

リテラシー

使用性(Usability)©2023-2024, JNSA CISO支援ワーキンググループ.

セキュリティ
レベル

モニタリングと評価

12チェックリストと構造化アプローチ
事業・経営の視点
体制・マネジメントの実装

Ⅰ

サイバーセキュリティ
経営ガイドライン

ビジネスコンセプト（経営理念、方針）

Ⅲ

体制・マネジメントの検証

ITコンセプト

要求事
項と規
範の視
点

•

情報セキュリティマネジメント
システム（ISMS）

コンセプト（理念、方針）• サイバーセキュリティ演習

プログラム（戦略、長期計画）•CISコントロール• PCI DSS

セキュリティ
情報セキュリティプラン（実行計画）
マネジメントプロジェクト（体制と手順）（アーキテクチャ、フレームワーク）• 脅威ベースの侵入検査(TLP)

アクティビティ（目標と活動計画）• 侵入検査• 脆弱性検査

タスク（実施項目）

Ⅱ

対策の実装

リス
ク・脅
威の視
点

規範に対する実装状況の評価（規程・記録）攻撃のモニタリングと評価（アラート・ログ・データ）

Ⅳ

対策の検証

評価とモニタリングの視点©2023-2024, JNSA CISO支援ワーキンググループ.

13

プロスポーツで考える構造化
計測する対象は、立ち位置によって違ってくる選手の視点（試合の視点：OODA的）• 自身の成績、ゲームに勝つ、年棒を上げる
ポジションや役割によってゴールが違うものになる• 個人成績（得点・アシスト・打率等）
監督の視点（シーズンの視点：OODA, DevOps的）• シーズンで成績をあげるためにゲームに取り組む• 課題は次のゲームまでに改善に努める• 選手を評価する（個人成績、サイバーメトリックス）• チームの成績（ 順位、試合数）

PlanAct

Do

Check

オーナーの視点（中長期的な視点：PDCA的）• チームが存続する価値と収益があること• コンセプト・経営計画・投資計画・財務状況（経費と収益）••

チームの成績・選手の評価・スタッフの評価
チームの価値
参考：今こそスポーツチーム経営を考えよう｜橋本 貴智 https://note.com/takatomoh/n/n92441835b7dd©2023-2024, JNSA CISO支援ワーキンググループ.

15

財務諸表を読み取る（理解を試みる）©2023-2024, JNSA CISO支援ワーキンググループ.

16

財務諸表を理解する（ことを試みる）
因果関係の方向が、技術系と違う点がわかりにくい
左から右に因果関係を記述して、HIPO的に表記してみる

期首

B/S:貸借対照表

原資
負債＋純資産INPUT

PROCESSOUTPUT

資産

オペレーション（事業・活動）

売上・原価

P/L損益計算書

期末
B/S:貸借対照表

時間©2023-2024, JNSA CISO支援ワーキンググループ.

17

財務諸表に対する3つの目線
経営者目線（収益性・成長性）

銀行・格付け会社目線
（安定性）

財務健全性
指標
期首

ROI
原資
負債＋純資産INPUT

PROCESSOUTPUT

資産

オペレーション（事業・活動）

売上・原価

B/S:貸借対照表

P/L損益計算書

期末
B/S:貸借対照表

時間

ROE
投資家目線
（資本効率性）©2023-2024, JNSA CISO支援ワーキンググループ.

18

財務諸表に対する3つの目線

銀行・格付け会社目線（安定性）

経営者目線（収益性・成長性）

投資家目線（資本効率性）©2023-2024, JNSA CISO支援ワーキンググループ.

財務健全性指標
流動比率・固定比率など

ROI
Return on Investment

ROE
Return on Equity

出典：現場で使える決算書思考川井 隆史、明日香出版社
ISBN-10 : 4756920926

19

BSとPLの構成による財務指標の変化©2023-2024, JNSA CISO支援ワーキンググループ.

仕訳を変えると、財務指標により、影響が違って見える。

20

むすび

©2023-2024, JNSA CISO支援ワーキンググループ.

21

CISOハンドブックが目指すもの• 「CISOが経営陣の一員として成すべきこと」• 実践するのためのガイドを提供• 「経営陣がCISOと共に成すべきこと」• 経営陣がCISOを活用するための理解を促す試み• 知識の集積ではなく「成すべきこと」を俯瞰する視点• CISO業務と要素の本質的な理解の足がかかり• 経営という意味でのマネジメント• 経営という視点でのセキュリティ• ベストプラクティスとその背景• 特別損失対策からビジネス志向へ• ビジネスイネーブラとしてのセキュリティという視点
本ドキュメントや「CISOハンドブック」が業務執行としての情報セキュリティに取り組むうえで、参考にしていただければ幸いです。
©2023-2024, JNSA CISO支援ワーキンググループ.

22

参考

CISOハンドブックで取り上げている内容の一部を、参考として以下に抜粋します。

©2023-2024, JNSA CISO支援ワーキンググループ.

23

CISO COPASS: CISOの歴史
1990s-2000
1

限定的な
セキュリティ =ログオンとパスワード
最初のCISO 1995年• 情報は外部に興味深いものではない• 汎用機からPC/LAN、インターネットへ• セキュリティ＝ FW＋AV

IT業務の一環としてのセキュリティ• ITの領域に留まる• 技術指向のセキュ
リティ• CIOの登場

2000-2004

43

2

脅威対応のセキュリティ
ソーシャル、モバイル、クラウド
CISO

規制遵守の時代CISOの採用

リスク指向
CISOの普及・浸透

代表的な規制• HIPPA (1996)• Gramm-LeachBliley Act(1999)• Sarbenes-OxleyAct(2002)• California breach
notification law S.B.
1386(2003)

リスクレベルに応じた投資と保護• チェックリストと委員会制度の限界
セキュリティ事故と複雑化するセキュリティ領域• 技術スキル＋ソフトスキル(ISC)2• NIST SP800-53*

ITと社会環境の変化• スマートフォン• SNS• BYOD• 生活形態の変化と企業での利用• 新技術の業務活用

100%の規程遵守• 深い技術よりも、規制の理解、保護、管理、技術、運用の安全策を提供できる人

CISOの普及・浸透• IT部門に留まる• 情報セキュリティ
は組織リスク（GRC**)• 法務部門（規制）• プライバシー部門

CISO:技術者・マーケ
ティング・政治家• 業務部門とのコンフリクト• 新しいアプローチが必要

出典：CISO COMPASS, TODD FITZGERALD
ISBN-10 : 0367486024
CISO WGによる翻訳と構成

2016-2020s

2008-20162004-2008*NIST SP800-53（「米国連邦情報システムのセキュリティおよびプライバシー管理の管理策」**GRC: Governance Risk Compliance

Todays and Tomorrow

5
プライバシーとデータ対応 CISO

プライバシーの懸念と分散するデータ• GDPR• Cloud• オフシュア• ベンダー
CISO:上級管理職のパートナー• 全社リスク対策• イニシアチブ*• 国家・犯罪攻撃への対応• プライバシの評価• アジャイルビジネ
スのサポート
第1/第3象限へ集中**

国際的な政府規制の強化

組織文化

社会的文化的なトレンド

プライバシ
規定の準拠

CISO フォー
カス領域

外部監査
内部監査

技術の進歩の取り込み

新製品と新サービス

アウトソース*イニシアティブ：重要な企業活動のことだと考えられる**第1象限：重要で緊急
第2象限：重要ではないが緊急©2023-2024, JNSA CISO支援ワーキンググループ.

24

会社法と役職
会社法の機関等

従業員：決定事項の実行

会社法の役員
会計参与

監査役
選任
解任

主に監査役を置かない場合

監査

計算書類の作成

執行役員は「重要な使用人」に該当するが、本部長、部長、課長等と同様に会社が任意で呼称する役職

取締役会：意思決定
代表取締役(業務執行役員)
株主総会

選任
解任
執行役員

選任
解任

取締役
取締役
取締役
取締役

取締役
取締役
取締役
取締役

(業務執行役員)
選任・解任

社長、会長、副社長、専務、常務等も任意の呼称

執行役

指名委員会等設置会社(任意にCEO,COOと呼称することもある）©2023-2024, JNSA CISO支援ワーキンググループ.

25

考慮すべき法令・基準（クラウド）
個人情報を取り扱う際に適用される法令

名所
個人情報の保護に関する法律（個人情報保護法）
General
DataProtection（GDPR）一般情報保護指令

種類Regulation

California Consumer Privacy Act（CCPA）

対象法令日本在住の個人の個人情報

法令

EU域内在住の個人の個人情報

法令

CA在住の個人の個人情報

概要
個人情報の取り扱いについて定めた法律
欧州連合（EU: European Union）によって定められたプライバシーとセキュリティに関する法律
カリフォルニア州（CA: California）によって定められた消費者のプライバシー保護に関する法律

データに基づき適用される基準
名所

種類

対象

Payment Card Industry Data Security
Standard（PCIDSS）

基準

クレジットカード情報（業界）3省3ガイドライン

基準

医療情報（日本）

HIPAA

法令

医療情報（米国）

概要

クレジットカード保持者データ（CHD: Cardholder Data）を安全に取り扱う事を目的として策定されたセキュリティ基準
厚生労働省、経済産業省、総務省が定める医療情報を委託、クラウドサービス上で安全に利用することを目的として策定されたガイドラインの総称保護された医療情報のセキュリティとプライバシーの保護に関する監査業界に適用される法令・基準
名所

種類

対象

概要

金融機関等コンピュータシステムの安全対策基準

基準

金融機関（日本）

金融情報システムセンター(FISC)が定める金融情報システムの安全対策について定めた基準

政府機関等の情報セキュリティ対策のための統一基準群

基準

政府機関（日本）

厚生労働省、経済産業省、総務省が定める医療情報を委託、クラウドサービス上で安全に利用することを目的として策定されたガイドラインの総称©2023-2024, JNSA CISO支援ワーキンググループ.

26

主要な国際標準（クラウド）
規格、認証

説明

ISO/IEC27001

ISMS適合性評価制度として知られている通り、組織の情報セキュリティマネジメントをISO/IEC 27001（JIS Q 27001）に基づき評価する仕組み。

ISO/IEC27017

ISO/IEC27001に基づくISMS認証に加えて、その適用範囲に含まれるクラウドサービスの提供または利用に関して、ISO/IEC27017に規定されるクラウドサービス固有の管理策が実施されていることを認証する仕組み。

ISO/IEC27018

ISO/IEC27001に基づくISMS認証に加えて、CSPがISO/IEC27018に規定される個人情報をクラウド上で管理するにあたっての管理策が実施されていることを認証する仕組み。

SOC1(System andOrganization Controls 1)

米国公認会計士協会（AICPA）が定める、財務報告書に係る内部統制の評価を目的として、業務委託先を審査する仕組み。特定の時点における内部統制の整備状況を評価するType1レポート、運用状況を含めた評価を実施するType2レポートがある。

SOC 2

米国公認会計士協会（AICPA）が定める、情報セキュリティ、プライバシーに関する内部統制を評価する仕組み。特定の時点における内部統制の整備状況を評価するType1レポート、運用状況を含めた評価を実施するType2レポートがある。

SOC 3

SOC2と同様の評価が行われるが、内部統制の個々の評価手続き・評価結果は開示されず、総括的で定型的な評価結果と印象取得に係る意見のみを開示する。

Security Trust
Assurance andRisk（STAR）

クラウドセキュリティアライアンス（CSA）によって管理、運営されているプログラム。STARプログラムは、実施した審査により3つのレベル分けをしています。

クラウドセキュリティ（CS）マーク

CSPが行う情報セキュリティマネジメントの取り組み状況に関する内部監査ついて、JASAが定めるクラウド情報セキュリティ管理基準に準拠した監査が適切に行われているかを評価する。申請により認定されるCSシルバー、外部監査が行われ、認定されるCSゴールドの２種類がある。

プライバシーマーク

一般財団法人日本情報経済社会推進協会 (JIPDEC)によって管理、運営される、事業者が個人情報の取り扱いを適切に行う体制を整備していることを認定する制度。
©2023-2024, JNSA CISO支援ワーキンググループ.

27

各国の規格・認証（クラウド）
規格、認証
政府情報システムのためのセキュリティ評価制度（ISMAP）（認定）

国

説明

日本

日本政府機関が使用するクラウドとしての認証制度。
政府が求めるセキュリティ要求を満たしているクラウドサービスを予め評価・登録することにより、政府のクラウドサービス調達におけるセキュリティ水準の確保を図る。

FedRAMP米国

米国政府機関が使用するクラウドとしての認証制度。
（Federal Risk and Authorization Management Program）
連邦情報セキュリティマネジメント法（FISMA）に基づき、クラウドサービス導入の際したセキュリティ認証基準。
米国省庁が利用するには、FedRAMPの取得が必要。

Government-Cloud(G-Cloud)

イギリス

英国政府機関が運営する、政府機関向けクラウド・コンピューティング・サービスの調達フレームワーク。

Cloud Computing
Compliance Criteria
Catalogue（C5）ドイツ

ドイツ政府機関とその関連団体がパブリック クラウド ソリューションを導入する際の必要最低限のクラウド セ
キュリティを定めた監査標準。

Information Security
Registered Assessors
Program （IRAP）

オーストラリア

オーストラリア政府機関が運営する、オーストラリア政府のICT（情報通信技術）システム導入におけるセキュリティ評価を提供するための仕組みであり、民間企業や公共団体のサービスは本仕組みに基づく審査、認証を取得することができる。

Multi-Tier Cloud Security
シンガポールStandard Singapore
Standard （MTCS SS)

シンガポール政府機関が定めるクラウドセキュリティの認証であり、CSPは独立した MTCS 認証機関による監査を受けることにより、認証を受けることができます。

©2023-2024, JNSA CISO支援ワーキンググループ.

28

実践的CSPセキュリティ評価
ENISA: Cloud Security Guide for SMEs

ENISA: 中小企業のためのクラウドセキュリティガイド
本ガイドは、中小企業がクラウドサービスを調達する際に考慮すべき、セキュリティリスクと要件(Opportunity)を理解するための支援を目的としている。
本書には、一連のセキュリティリスクとセキュリティ要件、および中小企業がプロバイダのセキュリティレベルを理解するために利用できるセキュリティに関する質問のリストが含まれています。リスクと要件は、セキュリティ上の質問とリンクしているため、最終的な結果は、ユーザのニーズや要件に応じてカスタマイズすることができる。この情報は、2つのユースケースの例と、適用されるデータ保護法と各国の関係当局の概要を示す付録によってサポートされている。
https://www.enisa.europa.eu/publications/cloudsecurity-guide-for-smes (日本語訳：CISO支援WG)©2023-2024, JNSA CISO支援ワーキンググループ.

https://www.jnsa.org/result/2019/act_ciso/29©2023-2024, JNSA CISO支援ワーキンググループ.

30

Thank you