寄 稿

経営者に情報セキュリティ対策の必要性を訴求する手法について
西日本支部 経営者向け情報セキュリティ対策実践手引き WG
西日本支部長1．はじめにティの目的を明確にし、自組織の情報セキュリティに係るリスクの把握、リスクの評価、リスク対応を決断し、企業における、情報セキュリティに関連する事故や事件による影響範囲は甚大であり、ひとたび発生させ2．リスクアセスメントとマネジメントの考え方

ると、いままでの人材や技術など、社会に投資・貢献してきた努力が、一瞬にして「無に帰す」ことになる。
情報セキュリティ事故は情報漏洩といった機密性の侵

12

嶋倉 文裕

必要な対策の見える化について紹介する。

「組織の状況の確定」は、ISO31000 のリスクアセスメントの一ステップで、図1の位置づけとなる。

害に注目されがちであるが、マルウェアの侵入による工場ラインの停止や、不安定な動作による製品品質の劣化、低下、製品の出荷の遅れ・停止を招くこともあり、これらの経営への影響は計り知れない。
また、今後さらに IoT化により業務とIT が密接に関係していくことを考慮すると、情報セキュリティ対策は、全ての組織にとって喫緊の課題である。
そのため、常日頃から、自組織がどのような環境でオペレーションを行っているのか、情報セキュリティ対策がどの程度実施されているのか、どのようなリスクにさらされており、どの程度の対策をしておくべきなのかを把握し、対応を決断することが経営者や経営層には問われているが、経営層にとって情報セキュリティリスクは、理解しにくいものである、というのが実態である。
それでは、情報セキュリティに起因する影響をでき

なお、ISO31000 のリスクマネジメントプロセスの各ステップにおいて「コミュニケーション及び協議」が関連づけられているが、Risk WG では、「コミュニケーション及び協議」を誰と行うのか、経営視点でのリスクる限り最小限にし、情報セキュリティ対策が事業継続への投資として必要不可欠であることを経営者に理解として捉えて行うために必要なことは何かを考え、それを図 2 に整理した。

していただくにはどうすれば良いか？
西日本支部の「経営者向け情報セキュリティ対策実践手引きWG」（以下、Risk WG）では、その解として経営者に情報セキュリティ対策の必要性を訴求し、対組織には様々なリスクが存在し、情報セキュリティリ
スクはそのうちの一つではあるが、情報セキュリティリ
スクによる経営や業務への影響を情報システム部門のみで把握するには困難であり、経営者、業務部門でし策に投資をしてもらうために、必要性の見える化として、ISO31000（リスクマネジメント）のリスクマネジメントをかわからないことがある。
そのため、情報セキュリティリスクには、経営者、参考にして、自組織そのものを評価するための手段の検討を行った。
本稿では、Risk ＷＧの成果物である「経営者のための情報セキュリティ対策 ―ISO31000 から組織状業務部門と情報システム部門が一体に対応することが必要であり、その要となる経営者、業務部門と情報システム部門間の「コミュニケーション及び協議」を効率的に進めるには、組織全体で共通の言葉と意味でリス況の確定の事例― 」に記載する、ISO31000 の「組織の状況の確定」というステップを中心に、情報セキュリクの認識を持つことが求められる。
例えば、図 2 では情報セキュリティリスクが、システ

図1

ISO31000 のリスクマネジメントプロセス

SPECIAL COLUMN

ムリスクや品質リスクに影響することを示しており、情報セキュリティリスクによるシステムリスク、品質リスク

3．組織の状況の確定方法を把握し、それぞれにおける対策の明確化を「コミュニケーション及び協議」を通じ行うことを示す。
逆に言えば、情報セキュリティリスクがシステムリス

３．
１ 外部状況と内部状況組織の目的を明確化するISO31000 の「組織の状況クや品質リスクに何ら、影響を与えない組織であれば、対策は不要であり、リスクを正しく把握することは無駄な投資を防ぐことになる。の確定」では、リスク管理において考慮するのが望ましい外部及び内部の要因を定めている。
以下に ISO31000 に記載されている外部状況、内部

図2

リスクの共通土台

表1

外部状況と内部状況例

13
JNSA Press

３．２ 組織の状況の確定方法
Risk WG では、経営の視点から自組織の状況の確定を行うことで、図３に示す以下の事項が明確にできると考えた。
(1) セキュリティ対策の目的、望まれる対策とレベル
自組織の社会における位置づけ、社会や顧客からの期待など、外部からの要請が自組織のセキュリティの動機付け、対策の範囲やレベルの要件となる。
(2) 対策の範囲把握した外部状況、内部状況から対策すべき範囲が明確となる。

Special Column

状況の例を示す。

経営者に情報セキュリティ対策の必要性を訴求する手法について(3) リスクの低減目的を達成するために、軽減すべきリスク、最低３．４

限受容可能なリスクを識別する。
(4) 予算Risk WG では、ISO31000 の外部状況、内部状況とマクロ環境（PEST）、ミクロ環境（Five Forces）の関係について検討を行い表 2 に再整理した。

リスク軽減に向けて、運用も含めた必要な費用と、自組織で投資可能な費用から、予算計画を立案する。

外部状況、内部状況とマクロ環境、ミクロ環境の関係の再整理

マクロ環境、ミクロ環境とも外部要因であり、これらは ISO31000 の外部状況との関係で整理できる。
また、3.2 項に示すとおり、自組織の社会における位置づけ、社会や顧客からの期待など、外部からの要請といった外部状況が、自組織のセキュリティの動機付けの大きな要因となり、セキュリティ対策の範囲、レベルの要件となる。
一方、内部状況は自組織の様々な要因と紐づけられ、セキュリティの視点では、表 3 に示す現状の対策状況となる。
以上を踏まえ、セキュリティにおける外部状況、内部状況の関係をまとめると、以下のように整理できる。

14
図３

組織の状況の確定を行う視点とは

３．
３ 経営環境の分析
Risk WG では、経営に訴求する方法として、図 4 の一般に使われる以下のマクロ環境 (PEST）とミクロ環境（Five Forces：５つの競争要因）を利用できないか、検討を行った。マクロ環境は、企業が統制不可能なこ• 外部状況が自組織のセキュリティ対策の動機付けとなり、目指すセキュリティの姿が定まる• 内部状況は、自組織の現状であり、内部要因により現状のセキュリティレベルとなっている• 目指すセキュリティの姿と現状のセキュリティレベルの差異が改善すべき対策となる
図 5にその関係を示す。と、ミクロ環境は企業が準統制可能なこととして捉えている。

図4

マクロ環境とミクロ環境

図 5 セキュリティにおける外部状況と内部状況の関連目指す姿との差異が確認されれば、図 6 のように、内部状況および外部状況を踏まえた PDCAを行い、組織体制や方針・戦略へのフィードバック、内部影響

SPECIAL COLUMN2 

外部状況とマクロ環境、ミクロ環境~{ zmpWd`.Cosug~{ z-,B~{ zJ$j!#.5F8VL
Xgg0qT ?r/
Yyxlg?
r/g.5g7)gOg*M
VLg*MgF8gK9roAp;7)_OK9b`~{ z+So(Z~{ z+So(ZeJ$g~{ z&Co(Z]N}|Q^fJ$g~{ z&Co(Z]N}|Q

^

|;

J$g~{ z&Co(Z]N}|Q^

J$g~{ z&Co(Z]N}|Qg3GH^

|;A;

J$g~{ z&Co(Z]N}|Q^

N4N|;EIp=<o(Zyhv~{ z~{ z&C]1 p~{ zsu#^~{ z&Cp=<g~{ z&CpDg~{  p=<~{ z&CzpD
3@osu"UitN4kwv~{ z~{ z]1 p~{ z^~{ zgD

EIp=<o(Zyhc_avNnr 2
"U}|mpW\%
ro"U}|pR>rP
'

3 
表3ZF
ZF|X[|(¯¢« (;n|RQk0  Y;n,©« ¦«±\T  1Pj=
w<pjJSh49_²
~|j=|<p||£®|£®w §§|3b³3bY^l ©« UNlo, §lol)B^
LX[aN
G{yz« ª±X[:X[*]D#{yz« ª±,jO, §|,I-*E , N£®² #r #;
,jO2}KNQV
³«f°?
c@w7nX[86 c@|7n¨¡¬¨¡¬l ±¥¬q ±¥¬gSd)BW!V$15

内部状況の再整理tWq&.|

[W©« q`%+´X[Q"T`%+´X[Q"Tt
X[°;
n°1P

©« 5j«f?|©« "T°UNa}>«±«f?|©« "T°UN u|m|£®;Hv«f?|©« "T°UN
a}3b
`%+´X[Q"T{ lX[q|gSdX[C0`%+´Q"T|3bQ"T{X[:]/Q"T|3bQ"TAe

Ml's L`%+´X[Q"T|Q"T|3b©« "Q"T|KNQ"TT"ixM
L©«­¤¬`%+´X[Q"T`%+´Q"TSpecial Column

["U:6

ML©«­¤¬JNSA Press

表2経営者に情報セキュリティ対策の必要性を訴求する手法について因子への説得、またリソース・人員・投資への再整備などを行うこととなる。

4．モデル企業での必要な対策を導くプロセス
これまでの検討結果を踏まえ、Risk WG では様々な企業のケースが考えられるため、いくつかの仮想モデル企業を作成しモデルケースでの経営者への情報セキュリティ対策の必要性を訴求する方法を試案した。
それらのモデル企業毎に、経営者の視点による外図6目指す姿との差異が確認された場合部状況、内部状況を整理し、その差異とセキュリティ対策を放置することで招く恐れのある被害を金額で明示する、図７に示す見える化、および目指す姿の差異を改善するための施策を、図 8 に示す投資費用、回収計画という形で、経営者に向けた見える化の手法の検討を行った。

３．
５ 目指す姿への推進
現状から目指す姿に推進するとき、必ずしも順調に16いくとは限らず、正しいと考えていたものが、時代の変化・技術の進歩等により必ずしも正しいとは言い切れなくなることや、失敗、挫折、訂正、変更や後戻りなど、目指す姿へ直線的に最短、最小コストでいけないことのほうが多いかもしれない。
また日常における情報セキュリティは「今そこにある危機」に対して、スピード感をもった対応が要求されるケースもある。
前述の「目指す姿」への推進は、PDCAサイクルのような長い周期（例えば、1年）での取り組みとなるが、日々の脅威や脆弱性の変化の対応や、不幸にも情報セキュリティの侵害を検知した時には、自社への影響、状況を把握し、その対応の意思決定、およびその対図7

現状と目指す姿の例

図8投資計画と回収計画例

応の実行という措置を短期間で行う必要がある。この短期間でのプロセスはOODA（Observe（監視）、Orient（情勢判断）、Decide（意思決定）、Act（行動））と呼ばれ、目指す姿にフィードバックを行うことも考慮する必要がある。

SPECIAL COLUMN

5．最後にアプローチする活動であり、西日本支部は図 9 に示す関連性をもった成果物を作成してきた。
これらについてもご利用頂ければ幸いである。

Risk ＷＧの成果物である「経営者のための情報セキュリティ対策 ―ISO31000 から組織状況の確定の図9

西日本支部の成果物の関係

参考西日本支部の成果物と参照先＜気付き＞「出社してから退社するまで中小企業の情報セキュリティ対策実践手引き」 略称：9to5
https://www.jnsa.org/result/2013/chusho_sec/＜運用＞「中小企業向け情報セキュリティポリシー・サンプル」 略称：ポリシーサンプル
https://www.jnsa.org/result/2016/policy/＜チェック＞「中小企業向け情報セキュリティチェックシート」 略称：チェックシート
https://www.jnsa.org/seminar/nsf/2014kansai/＜リスクマネジメント＞「経営者のための情報セキュリティ対策 ―ISO31000 から組織状況の確定の事例―」
https://www.jnsa.org/result/2018/west_tebiki/

17
JNSA Press

者にセキュリティ対策の必要性を訴求したい読者の方の参考となれば幸いである。
また、組織がなぜ情報セキュリティ対策を行うのか、その動機付けや情報セキュリティ対策への投資を経営者に決断して頂くためのアプローチを本 Risk WG で実施したが、これまでの西日本支部での活動は、情報セキュリティ対策を行うことが前提となっている組織にSpecial Column

事例― 」の第 2 部には、ＷＧで想定した仮想モデル企業について外部状況、内部状況を整理し、必要な対策を導くプロセスの見える化例を作成しており、経営