［特集］
費用最小化・価値最大化を実現する データガバナンス最前線

サイバーセキュリティからみた
データガバナンス
新日本有限責任監査法人
杉山一郎 EY
GIAC Certified Forensic Analyst

再開するための対応に限らず，個人情報・営◆ Summary ◆ランサムウェア等のサイバー攻撃による影響が拡大

業秘密・知的財産などの重要な情報の漏えいの一途をたどり，事業継続や財務報告等にも影響を及および毀損などの影響範囲の確認，財務報告ぼし始めている。また，データの利活用とともに個人を構成する情報の完全性の検証，ステークホデータの侵害等に対する規制が強まっている。このような状況を踏まえ，本稿では DX が進むなかで増加すルダーへの報告など，様々な対応に追われるるサイバーセキュリティリスクの視点から見たデータこととなる。このような危機的な状況は他のガバナンスの重要性について考察する。

サイバー攻撃によっても発生しうるので，
DX 推進下において企業が進めるデータドリ《は じ め に》

ブン型経営やオペレーショナルエクセレンス

企業のデジタル化により業務で取り扱われなどの企業戦略に大きな影響を与えかねない。

る情報量が増加したことに加えて，ビジネスたとえば，前者については判断のもととなるプロセス変革により事業における IT の役割データが侵害され完全性や可用性が損なわれも増えたことで，組織外部からのサイバー攻てしまうことで，適切なデータ分析が行えな撃による情報漏えいや資産の毀損などのサイくなるだろうし，場合によっては機密性の侵バーリスクも同時に増加している。これまで

害によりプライバシー関連法の罰則や漏えいは対岸の火事だと思っていたサイバーインシ被害者からクラスアクション（集団訴訟）のデントが，ついに自社でも発生したという方リスクなども生じてしまう。このような状況が読者の中にもいるのではないだろうか。サ

を踏まえて，本稿では近年重要視されている

イバーインシデントは無形資産の破壊や不正データガバナンスの中でもサイバーセキュリ送金による直接的な毀損だけでなく，企業のティなどのデータ利活用時のリスク管理につ事業継続や信頼にも影響を及ぼし始め，最近いて触れたい。

ではサイバー攻撃により財務報告に甚大な影響を受けた事例が各国で報告されている。
たとえば，昨今急増しているランサムウェⅠ サイバー攻撃の件数および事業への影響が増加する理由

ア攻撃の場合，被害企業はシステムや重要データの暗号化により停止してしまった事業を
（623）

企業会計

端的に言えば，２つの理由があると考えて2022 Vol.74 No.5

47

〔図表〕サイバー攻撃は企業の様々な側面を標的としている
DXにより多様化したITシステムや海外拠点などの管理が弱い拠点を狙う攻撃
内部者による攻撃
社員の不注意を狙う攻撃
会社の知的財産を狙う攻撃

人事・労務管理

調達先そのものや調達するモノ・システムを狙う攻撃

調達活動

全般管理（インフラストラクチャー）
技術開発
購買

製造

出荷
物流

購買品にマルウェアなどを混入させる攻撃

販売・
マーケ
ティング

製造ラインや物流システムを狙う攻撃
販売用のWebサイトやプロモーション用のSNSアカウントなどを狙う攻撃

サービスサービス停止者利用顧客を狙う攻撃

いる。１つ目が「サイバー攻撃のベクトルがクノロジー導入時にはサイバーセキュリティ

企業活動の様々な側面に向かっているが，企以外にも内部リスクなどに配慮した物理的な業の防御が追いついていない」という点であセキュリティにも留意する必要があるが，こる（図表）。これはデータガバナンスの重要の点に対する意識の低さも攻撃件数や影響範性の高まりとも深く関係する。企業がデジタ囲の拡大に多少なりとも影響していると考えルデータの活用や多様な働き方などを実現する。

るために導入した新たなテクノロジーが結果

２つ目は「サイバー攻撃を行う犯罪者が，として攻撃の対象を増やしており，それに対攻撃ツールの入手から別の攻撃により流出しする防御が追いついてない状況を一部生み出たシステム等の認証情報の購入，ランサムしている。
「新しいテクノロジー導入時にセウェアを通じ取得した仮想通貨の資金洗浄まキュリティ部門へ相談するルールがない」「新で幅広いサービスをダークウェブ等の闇市場しいテクノロジーにより増加した管理対象デで容易に利用できてしまう，サイバー犯罪のータが保有するリスクが適切に評価されていエコシステムの進化」という点が挙げられる。

ない」など理由は様々であり，このような課ローコストハイリターンのおいしいビジネス

題について頭を悩ませている CISO や CIOが攻撃者のモチベーションをあげ，サイバーは多いのではないだろうか。また，新しいテ犯罪の数を増やしたり，デジタルに依拠するビジネスの様々な側面を狙うことで別のサイProfile

バー犯罪ビジネスモデルが生まれたりしてい

すぎやま・いちろう◇ EY 新日本有限責任監査法人 Forensic

るのが現状であり，昨今のランサムウェアを事業部 プリンシパル。デジタルフォレンジックの分野におい悪用した犯罪のモデル（Ransomware as aて 15 年 以 上 の 業 務 経 験 を 持 ち，2014 年 か ら EY Japan
Forensics にてサイバーインシデント対応，eDiscovery 対応，インフォメーションガバナンスなどを主な取扱い分野とするフォレンジック・テクノロジーの責任者を務める。

48

企業会計Service）もその１つとなる。実際にランサムウェア以外にも株価下落（空売り）を狙っ

2022 Vol.74 No.5（624）

［特集］てサイバー攻撃を請け負うようなサービスモとなるアプローチであることはお伝えしておデルも報告されている。

きたい。

Ⅱ サイバーリスクへの基本的なたとえば，昨今のランサムウェア攻撃におい て 悪 用 さ れ る こ と が 多 い VPN（Virtual対応アプローチPrivate Network）機器などインターネット多様化・複雑化するサイバー攻撃に対しての認証情報，あるいは認証情報なしでアクセどのようなアプローチが有効であるか，サイス可能な脆弱な機器の一覧などは攻撃者のコ

バー攻撃がもたらすサイバーリスクの構成要

ミュニティにおいて取引されていることが少素に従って，「攻撃する側の視点（脅威）」となくない。脅威インテリジェンスの活動を通「防御する側の視点（脆弱性と資産）」から考じて，このような情報の流通を先回りし，把えてみたい。

握して対策を実施し，攻撃を回避するといっからアクセス可能な企業のネットワーク機器攻撃をする側，つまり攻撃者は何らかの意たことが期待できる。なお，このような脅威

図（情報窃取，破壊等）と攻撃に必要な能力

インテリジェンスの活用は，これから説明す（ハッキング，マルウェア等）を持ち，攻撃る自社が保有するデータ資産の保護やデータの機会を見計らって標的組織に攻撃を仕掛け管理上の脆弱性対策が一定程度できているこてくる。近年はこのような脅威（攻撃者）にとが必要となることには留意いただきたい。

関する情報を積極的に入手し，セキュリティさて，本題となる防御側の視点からのアプ対策につなげていく「脅威インテリジェンス」

ローチについて考えたい。このアプローチはをセキュリティ活動に取り入れる組織が増え企業が保有する重要なデータ資産の特定とそている。脅威は本来組織では対策が困難なサの保護策（セキュリティ）の欠点となる脆弱イバーリスクの構成要素であり，後述する防性の管理をどのように行い，サイバーリスク御側の視点中心のアプローチが企業のセキュを減らしていくかを検討し，実施していく。

リティ活動の中心となることが多かった。しこのアプローチでは，以下の３つのプロセかしながら，防御視点中心のアプローチにはスの実施を検討する。

対応リソースの限界などがあるため，この限①企業として避けるべき事態から守るべき重要な情報資産を特定する界をカバーできる可能性があるアプローチとして，この脅威インテリジェンスの活用が着②

特定した重要な情報資産の脆弱性を把握し，リスク管理を行う目されている。脅威インテリジェンスは本稿のメインテーマであるデータガバナンスとの③リスクが顕在化し，最悪の事態あるいは関連性は高くないため，詳細は割愛するが，それを予見させる事態となった場合の対応セキュリティ対策の不備などが悪用され，万策を索定する（インシデント調査，訴訟等）

が一にも機密情報が漏えいした場合に備えたそれぞれ，少し補足する。まず①について監視などに有用であるほか，攻撃の動向を把は，すべての情報資産からリスクを特定する

握し先回りして対策を打てるなど，今後重要網羅的なアプローチよりもビジネス全体を俯

（625）

企業会計

2022 Vol.74 No.549

瞰して避けるべき事態から重要な情報資産を脆弱性の対応についてあるべき姿をベストプ見出すアプローチとしている。これは，サイラクティスやセキュリティガイドラインを参バー攻撃の範囲が広範にわたっており，その考にし，自社の実態との乖離状況を分析する対象となるシステムや情報が増加しているこ

ギャップ分析アプローチが一般的に利用されとに鑑みるとシステムやビジネスの相互関係る。

を踏まえ俯瞰的に捉える必要があると考える

最後の③のプロセスは①②に比べると，日からだ。また，業種などビジネスの構成要素

本企業は進んでいない印象を持っているが，により異なるが，一般的に重要な情報資産とサイバー攻撃が事業に与える影響が拡大してしては営業秘密，個人情報，医療情報，知的おり，実際にサイバーインシデントが発生す財産情報，インサイダー情報などが挙げられると短時間で事業再開時期や身代金支払などる。それぞれが関連法などにより保護されて様々な意思決定が求められるだけなく，ステいるだけでなく，その情報に係る関係者やシークホルダーへの適時の情報開示の対応までステムが複数存在することに留意が必要であ求められる必要があることに鑑みると，非常る。重要資産の理解が必要な例を１つ挙げる。に重要なプロセスであることがわかる。本年昨年末に FBI が，一部のランサムウェア攻４月に施行された改正個人情報保護法では，撃を行う集団が企業合併などを控えている企

個人情報漏えい時の委員会への報告のタイミ業を狙っていると警告している⑴ 。企業合併

ングについて，当該事態を知った時点からおなどの時間的な制約がある企業の関連情報をおむね３～５日の速報，30日以内の確報を求暗号化し，株価下落を恐れる企業に対して身めているが，昨今のサイバー攻撃が与える影代金支払を迫っているということのようだ。

響範囲の広がりやサイバー攻撃の痕跡の残り攻撃者が標的にとっての重要なイベントからにくさなどを考えると，事前の準備なしでは効果の高い攻撃手法などを分析していること

この改正法の要件に従った時間軸での対応はが推測されるが，防御側も攻撃者同様に重要難しい。さらに時間的制約は法律だけでなく，なイベントに影響を与える事象から保護すべ攻撃者からも掛けられる。たとえば，昨今のき重要資産の特定が必要であるといえるのでランサムウェア攻撃は企業のデータを暗号化はないだろうか。

する前に窃取し，そのデータの暴露に対して次に②の脆弱性について補足する。一般的

脅迫行為を行う。攻撃者が指定した数日程度に脆弱性というとデータの保管や処理を行うの短い時間内に身代金が支払われない場合，ソフトウェアやハードウェアなどの技術的なインターネット上に公開するといった脅迫で脆弱性を思い浮かべる方が多いかと思うが，ある。このような時間的制約を掛けられる中ここで言う脆弱性は技術的な脆弱性に加えて，でしっかりと事実確認をし，その確認結果にビジネスプロセス上の脆弱性（例：ソフトウェ基づく復旧およびステークホルダーへの情報

ア更新ルールや特権利用時の承認プロセスの開示を行うためにも③のプロセスは重要とな未整備）や従業員などの人の脆弱性も含めてる。

いる。これらの重要資産を保護するうえでの50

企業会計

なお，身代金支払については，わが国の現2022 Vol.74 No.5（626）［特集］

行法では直接罰する法律はない一方で，犯罪「国内保存義務」「データの移転などに際して者への資金提供につながるほか，そもそもそ必要な手続」などの点について事前に確認しのような事態に陥ってしまったセキュリティておくほうがよい。また，外部からのサイバ対策など不備について善管注意義務違反となー攻撃というよりは内部関係者による犯行をる可能性も否定できず，原則支払うという選見据えた対応となるが，営業秘密のように法択肢はないと思われる。ランサムウェア攻撃

律上の保護を受けるためにインシデント以前により重要なデータやシステムが破壊され事から適切な取扱いが求められる情報があるこ業継続が困難となり，身代金支払を検討せざとにも留意が必要である。そのような情報のるを得ない状況とならないよう，セキュリ侵害が生じ，調査によりその行為を立証しよティの強化が望まれる。

うとしても，そもそも情報が適切に管理されⅢ サイバーセキュリティとデータガバナンスていないと期待した結果を得られずに終わる可能性があることに留意する必要がある。
有事の際に調査対象となる証拠データの保全についても情報管理の観点で留意したほう前置きが長くなってしまったが，前述の①がよい点がある。証拠データについて，「完～③のプロセスの実施において前提となり重全性（改ざんされていないか）」「網羅性（関要となるのが，企業に散在するデータを統一連性のあるデータを保全できているか）」「追的に整理し，そのデータが持つ情報特性に応跡可能性（証拠データはどのように扱われたじたリスク管理を行うデータガバナンスであのか）」の３点が特に重要となり，いずれもる。なぜ，データガバナンスが有効となるの有事の段階で確保しようとしても難しいため，か，平時と有事の両面から見た情報管理から企業が新たにサードパーティー製のサービス整理したい。

やシステムを導入する段階でこの点に留意す

まず，有事の側面から整理する。既述のとる必要がある。たとえば，欧米のクラウドサおり，サイバー攻撃により個人情報などの漏ービスにはインシデントや訴訟に備えたデーえいなどが発生した場合，各国のプライバシタやログ保管に関する追加のオプションが備ー関連法などで定められた期限内での報告がわっていることが多いが，日本企業では広く必要となる。その際にどの法律要件が適用さ利用されていない印象があり，実際にこのよれるかは企業が保有するデータが持つ情報やうなオプションが無効化されており調査上必

そのデータの保管場所などにより変わり，イ要なデータが取得できず調査を断念した事案

ンシデント後の整理では間に合わないため，を聞くことが多い。また，従業員の私物デバインシデント前の整理が望まれる。特に海外イスの業務利用を認めている企業で発生したで事業展開されている企業においては当該国インシデントにおいて，当該デバイスの調査のプライバシー関連規制について，「対象とが必要となったが，調査への同意を得られずなるデータの範囲」「インシデント発生時のに調査できなかったという事例も少なくない。

通知義務要件」「域外適用」「国内移転の可否」

外部からのサイバー攻撃に限らず，営業秘密

（627）

企業会計

2022 Vol.74 No.551

などの重要資産の保護の観点からも従業員のあるセキュリティやコンプライアンス等のリ私物デバイスの利用を認めている場合は，有スク管理について，古くから検討されている事において企業データが格納されるデバイスインフォメーションガバナンスのアプローチとして調査協力のため提出することへの同意についても紹介したい。
日本でデータガバナンスが着目される以前を取得しておくことが望まれる。
次に平時における情報管理について整理すからデジタルフォレンジックや eDiscovery

る。既述のとおり，有事対応以前に平時の段（米国民事訴訟における電子証拠開示）の世階から適切な情報管理を求める規制が増えて界では，訴訟等における電子情報開示や法的いる。このような規制に対して適切に対応しに保護された文書の保管義務，リスク管理なていくことが平時における情報管理で重要などに対応するために，企業内のデータが持つ点の１つとなるが，対応のポイントとしては情報のライフサイクル管理としてインフォメ「組織横断での」情報管理が挙げられる。

ーションガバナンスの重要性が認知され，特組織には様々な場所にデータが散在し，そに訴訟対応の多いグローバル系企業で取り組れぞれのデータには部門が異なるオーナーがまれている。このインフォメーションガバナ存在する。データガバナンスの主目的である

ンスはデータガバナンスの中でもサイバーセ

組織横断でのデータ利活用の実現時にも大きキュリティやコンプライアンス上のリスク管な障壁となる部門の壁がセキュリティのため理部分と重複するため，インフォメーションの情報管理においても課題となる。冒頭でもガバナンスで利用されているアプローチがデ触れたとおり，サイバー攻撃のベクトルが組ータガバナンスのセキュリティルール等の作織の様々なプロセス，つまりそこで扱われる成において有用と考える。

データに向いていることを考えると，各部門

インフォメーションガバナンスでは，最初で扱われる情報やデータに対しては統一的なに組織がどのようなデータを作成・受領・収セキュリティを行う必要がある。少なくとも集しているかを理解し，その用途・保管場所新しいテクノロジー導入やデータ戦略においの理解を進める。具体的には，データインベてセキュリティ部門が相談を受けないというントリの構築が最初のステップとなる。企業状況は回避しなければならないし，企業が全体に散在するデータが持つ情報やコンテキDX 推進している環境下においてはなおさらストから企業が順守すべき法律等の要件を理である。

解し，その利用状況や保管場所の適切性を検討していく。特にプライバシー関連規制にお《お わ り に》いては，データの保管場所の適切性の評価，ここまでサイバー攻撃の影響範囲，サイバ情報所有者からの削除等の要求，データ移転ーリスクを最小化するためのアプローチ，情時の適切な処置を行う必要があるため，利用報管理の重要性についてデータガバナンスと状況や保管の実態把握が重要となる。また，の関連性も踏まえて記載してきた。

GDPR などの法規制で要求されるデータマッ

最後にデータガバナンスの主要なテーマで
52

企業会計

ピングは継続的にメンテナンスされる必要が2022 Vol.74 No.5

（628）

［特集］

あるため，データインベントリの構築時には最後にデータの保管期間と廃棄ポリシーの策定・見直しを行う。プライバシー規制，ビこの点にも留意が必要である。
次にサイバーセキュリティやコンプライア

ジネスニーズ，訴訟やその他法規制を考慮し，ンスに深く関係する，データの保護と侵害等

企業はデータの種別の保管期間を定期的に見のイベントへの対応について現状を知り，改直す必要があるが，急速なプライバシー規制善を進めていく。自明だが漏えいしたデータの変化やデータの分散化などを考慮すると，は犯罪者に悪用されたり，インターネット上レコード・マネジメント・システムの活用なで公開されたりするリスクがある。また，大ど組織全体に適用可能な包括的なアプローチ規模なデータ侵害事案によるレピュテーショを検討する必要がある。また，不必要なデーンの低下は長期にわたり企業の収益に影響をタ廃棄は情報漏えいによるプライバシー侵害与える可能性がある。プライバシー関連情報リスクの低減や訴訟対応などの法的コストのを取り扱うシステムについてはデザイン段階削減につながるため，保管要件の期間を超えからプライバシーに配慮するなど，ビジネスたデータは速やかに削除する。

やテクノロジーの導入にプライバシー保護等以上の３つの大きなプロセスを回していくこのセキュリティが常に組み込まれるように企とが，インフォメーションガバナンスの基本的業文化を醸成することが重要であり，知的財なアプローチとなる。すでにある程度類似の産などの他の情報に対する取扱いも同様であ取組みを行っているという組織については，記る。また，保護以外にもその侵害の兆候を検録・情報管理に携わるプロフェッショナルが知する仕組みや侵害が発生した際に事前に確集まる非営利団体である ARMA International

認した要件を満たすためのインシデント対応が発刊する，企業のインフォメーションガバナプログラムの整備も忘れてはならない。インンスの成熟度を５段階で評価する Information

シデント発生時に情報の開示を期待するのはGovernance Maturity Model を参照し，自組当局だけではなく，顧客・株主・取引先など織で不足している領域から取組みを始めてみと広範にわたる。それぞれのステークホルダてもよいと思う。なお，同モデルで成熟度評ーに対して適切に情報開示するには，それぞ価の対象としているのは，Accountability・

れのステークホルダーに対峙する社内関係者

Transparency・Integrity・Protection・との連携が不可欠であり，インフォメーショCompliance・Availability・Retention・ンガバナンスなどの組織横断での情報管理をDisposition となっており，先に述べたイン維持する理由の１つである。なお，高度なサフォメーションガバナンスの基本的アプロー

イバーセキュリティのテクノロジーにより，チの内容を網羅している。

インシデント対応のオペレーションの多くが自動化されることがあるが，組織内連携やステークホルダーへの情報開示などの対応は経営層を中心とした社員が行う必要があること（注）⑴ https://www.ic3.gov/Media/News/2021/211101.pdfに留意いただきたい。
（629）

企業会計

2022 Vol.74 No.5

53