サイバーリスクも経営者の責任

2016年4月2日
林 紘一郎
情報セキュリティ大学院大学教授
サイバーセキュリティ戦略本部員
会社役員育成機構{BDTI}理事

米中首脳会談
近田「アメリカのオバマ大統領と中国の習近平国家主席が会談し、焦点のサイバーセキュリティーについて、サイバー攻撃で企業の情報を盗む行為をしないことで合意しました。」（出典） http://www.nhk.or.jp/ohayou/marugoto/2015/09/0926.html
米メディアは米中首脳会談で合意したサイバー問題に関する対話メカニズム構築などの措置に抑止効果があるかを疑問視している。保守系、リベラル系のメディアで会談の評価に温度差はあるが、南シナ海で進められる人工島建設も含めた中国の行動を野放しにすれば米国の国益に禍根を残すことになるという見方では一致している。
http://www.sankei.com/premium/news/151003/prm1510030019-n1.html
2

METIとIPAの報告書• 『サイバーセキュリティ経営ガイドライン』• 2015年12月28日、version 1.0• METIとIPA合同の研究会「サイバーセキュリティリスクと企業経営に関する研究会」の成果
3

経営者が認識すべき「３原則」• 経営者がリーダーシップをとって対策を推進
すべき• 自社のみならず、系列企業やサプライチェーンのビジネスパートナー等を含めたセキュリティ対策が必要• 平時からのセキュリティ対策に関する情報開示など、関係者との適切なコミュニケーションが必要
4

責任者となる担当幹部（CISO等）に指示すべき「重要１０項目」（1）
指示１：方針（セキュリティポリシー）を策定
指示２：適切な管理体制の構築と、責任の明確化
指示３：セキュリティリスクの洗い出しと、対処計画の策定
指示４：PDCAの実施と、経営者への報告、ステークホルダーへの適切な開示
指示５：系列企業やサプライチェーンのビジネスパートナーを含めた実施
5

責任者となる担当幹部（CISO等）に指示すべき「重要１０項目」（2）
指示６：必要な予算や人材など資源の確保
指示７：自組織で対応する部分と他組織に委託する部分の、適切な切り分け指示８：情報共有活動に参加し、最新の状況を自社の対策に反映。また情報共有活動に貢献
指示９：CSIRTの整備や、初動対応マニュアルの策定
指示１０：被害発覚後の通知先や開示が必要な情報項目の整理。経営者によるスムーズな説明
6サイバー・インシデントの特性① 実行者の特定困難性：匿名化手段（ＴＯＲ＝The Onion Router ） や ボット化・踏み台化（パソコンやサーバが乗っ取られ、指令サーバに支配される）などにより、誰が本当の実行者かの特定が困難② 被害の潜在性（ステルス性）：ウイルス感染や、不正アクセスによる情報の窃取あるいは乗っ取りにも、痕跡を残さないので、被害者も気づかない③ インシデントから攻撃までの連続性・越境性：偶発的インシデント、いたずら、営利目的、攻撃、テロ、武力攻撃の準備（インテリジェンス）までが、連続的に展開され区分が難しい上、容易に国境を越えてしまう④ 責任の分散：後述のVarianの公式に示されるように、特定少数の担当者が気を付ければ済むことではなく、ほぼ全員が何らかの責任を分担せざるを得ないため、対策が立てにくく、実効性も担保しにくい⑤ ICTの依存度と防御能力の反比例関係：上記を反映して、北朝鮮のようなICT依存度が低く、攻撃力だけを高めた国が優位に立ち、先進国はほぼ劣位になる

7

Varian の公式
セキュリティを担保するのは、3つの側面がある
・ best shot：スーパー技術者が解決する（スーパー技術者しか解決できない）
・ weakest point：一番弱いところが狙われ、そこから逐次的に侵入される
・ total effort：bot-net のtake down など、みんなでやらなければならない面がある（Source）Hal Varian [2004] ‘System Reliability and Free Riding’,
in L. Jean Camp and Stephen Lewis (eds.) “Economics ofInformation Security” Kluwer

8防御を難しくする7つの非対称以下のいずれにおいても、攻撃側が優位(1) 一点突破 対 全面防御、(2) 簡単に手に入る攻撃ソフト 対 合法の事後対応、(3) ゲリラ攻撃 対 正規軍（しかもタテ割り）、(4) 緩やかな国際連携 対 国内組織、(5) 多数の予備軍 対 少数精鋭、(6) （一部国家の）暗黙の援助 対 国際秩序遵守(7) （C&C方式なら）分散計算資源対 （セキュアな環境の）有限資源
9サイバー対策は誰の役割か？
 従来は専門家の仕事だと思われてきた：CIOやCISO
 また、民間主導で十分と思われてきた：ISMSやPマークなどのマネジメント・システムが中心
 しかし、前記の非対称性や（一部の）国家の関与が疑われ、攻撃対象に重要インフラ企業や防衛装備品のベンダーが含まれてきたころから、ナショナル・セキュリティにも関わるテーマだと意識されるようになった またアメリカでは、企業のリスク対策の一種だとして、取締役の責任が論ぜられるようになった10

企業を、巨大な情報処理装置と見る

http://akita-nct.jp/yamamoto/lecture/2006/1E/31st/html/node2.html
Floridiがいう” Inforg = Information Organism“ に近い発想
11

すると、情報管理は取締役の役割


財務報告を操作すると、投資家等の利害関係者の利益を害することは明らか

アメリカでは Caremark 判決（1996年、Delaware Court ofChancery）、日本では大和銀行事件判決（2000年大阪地裁、2001年に高裁で和解）が、取締役による「内部統制の構築」と「監視」の義務を認めた



その後アメリカでは、いわゆる SOX 法が制定され、わが国では金融商品取引法と会社法において、「財務報告のための内部統制の構築」が、取締役の専決事項とされた

しかし、財務報告以外の内部統制のあり方、とりわけ情報管理のあり方に関しては、ISO27000シリーズなどのソフトローに任されているのが現状
12What’s keeping you up at night?
 Directors: ① IT/Cybersecurity② Operational risk
③ Succession planning ④ Crisis preparedness ⑤
Corporate reputation

 General Counsels: ① IT/Cybersecurity②Regulatory compliance ③ Operational risk ④Corporate reputation ⑤ Crisis preparedness(Source) Law in the Boardroom Survey 2015, conductedjointly by FTI Consulting and Corporate Board Member
13「有価証券報告書の調査」の主な結果
 開示企業数は、平成21年度の52％（116社）から平成25年度の60％（136社）へと増加。
 業種別では、通信、銀行、証券、保険、小売業、石油、造船、電力、ガス等の14業種が100％（合計51社）。
 繊維、パルプ・紙、鉄鋼等の4業種は0％（合計14社）。
 素材産業全体（64社）では開示割合が32.8％と低く、 原材料費や為替の影響等のリスクと比べ、サイバーセキュリティリスクの認識が相対的に低いと考えられる。
 サイバーセキュリティリスクの記載文書が5年間同一の 企業（65社）には、その記載の仕方が包括的で意味が 広く捉えられる（想定インシデント・被害が具体的でない）ものが多かった。
 自社で発生したサイバーセキュリティインシデントを記載している企業は調査対象企業中4社と少なかった。
民間企業のサイバーセキュリティリスク開示に係る動向等について

平成25年度 日経225社-業種別サイバーセキュリティ情報開示状況
日経業種分類開示
開示企業％（社数） 企業数 中分類 大分類
大分野 （社数）
中分野
A 技術
57 01 医薬品
8225.0%61.4%
02 電気機器29
2069.0%03 自動車9444.4%04 精密機器
5360.0%100.0%
6605 通信
B 金融
21 06 銀行
1111100.0% 100.0%
100.0%
07 その他金融
113100.0%
08 証券
36100.0%
09 保険
6C 消費
28 10 水産2150.0%85.7%
11 食品
111090.9%
12 小売業
88100.0%
13 サービス7571.4%
D 素材
64 14 鉱業
100.0%
32.8%
15 繊維
500.0%
16 パルプ・紙
300.0%
17 化学
18527.8%
100.0%
18 石油
2219 ゴム2150.0%
20 窯業
9333.3%21 鉄鋼
500.0%
22 非鉄・金属
12541.7%
23 商社
7571.4%E 資本
35 24 建設
8450.0%
51.4%
財・
25 機械
16850.0%
その他
2100.0%26 造船
227 その他製造
33100.0%
28 不動産6116.7%F 運輸・
20 29 鉄道・バス
8787.5%85.0%
100.0%
公共
30 陸運
2231 海運
3133.3%32 空運11100.0%33 倉庫
11100.0%34 電力
33100.0%35 ガス
22100.0%
合計
22522513614

「海外文献調査」の主な結果（米国） 米国企業のForm 10-Kに記載するリスク要因については連邦規則（Regulation S-K Item503(c))にて規定されており、どの企業にもあてはまるような一般的な記述ではなく、当該企業特有の内容について、具体的に分かり易く説明するよう要求されている。
 また、サイバーセキュリティリスク開示に関するガイダンスとしては、米国証券取引委員会（SEC）
企業財務局から2011年10月に発行された「CF Disclosure Guidance: Topic No. 2 Cybersecurity」 （CFDG: Topic No.2）がある。
同文書は、上場企業がサイバーセキュリティについて、自社特有の事実と状況を考慮しつつ、どのような場合に何を開示すべきかを判断する助けとなるガイダンスである。
 上記に基づき、米国企業においては、サイバーセキュリティに関する自社特有の事実・状況に照らしたリスクや想定被害について詳しく開示している傾向があり、被害事例を開示する企業も見られる。
 なお、証券法は、詳細な開示によって当該企業がサイバーセキュリティ上の危険に晒されるような場合にまで開示を求めるものではないとしている。
民間企業のサイバーセキュリティリスク開示に係る動向等について
15

経営者の理解度（本人の評価と他人の評価）（出典）IPA 「情報セキュリティの人材育成に関する基礎調査」2014年4月
16