サイバーセキュリティ経営ガイドラインとは？

サイバーセキュリティ経営ガイドラインは、セキュリティ対策は経営を揺るがす問題であることを認識させ、経営者自らがリーダーシップをとって対策することを促進する目的で策定されました。

このガイドラインでは、サイバーセキュリティ対策は費用ではなく投資であり、セキュリティ投資は経営者の責務で経営戦略であると明記しています。

ただ、セキュリティ投資はリターンがはっきりとしないため、投資ではなく費用として捉えている経営者は少なくないようです。経営状況が悪化すれば費用は削減される運命にあり、サイバーセキュリティ対策がおざなりになる可能性があります。

適切にサイバーセキュリティ対策を行うためには、それに必要な費用や人材を明らかにし、あらかじめ予算を確保した上で体制を整えることが重要です。

サイバーセキュリティ経営可視化ツール使ってみよう！

「サイバーセキュリティ経営可視化ツール」は、サイバーセキュリティ対策を企業自身がセルフチェックできる、サイバーセキュリティ経営ガイドラインVer2.0ベースのWebサービスです。

IPAが運営している「情報セキュリティ対策支援サイト」のサービスの１つで、無料で利用することができます。利用者登録不要で利用できますが、履歴を保存するなど便利な機能を利用することができるため、あらかじめ利用者登録することをおススメします。

それでは以下のリンクからに接続して、早速使ってみましょう！

• 情報セキュリティ対策支援サイト
• 利用者登録
• サイバーセキュリティ経営可視化ツール　

１．チェック項目に回答する

サイバーセキュリティ経営ガイドラインに基づく１０の指示に関する質問が39問、事業内容に関する質問が8問、合計47問ありますので全ての質問に回答してください。質問の意味が分からない場合や、回答に迷った場合は「回答のヒント」をクリックして説明を参照してください。

使い方ガイドには、セキュリティ対策の担当幹部（CISOなど）が回答を記入し、最終的には経営者が回答内容を確認、承認するよう書かれています。

しかし、全ての組織で画一的に出来るとは限りませんので、それぞれの組織にあった形で実施して構いません。ただし、最終的には必ず経営者が確認しましょう。

なお、Webページで回答するため、後から経営者に回答内容を確認してもらうのは大変かもしれません。可能であれば経営者同席のもと行うか、二度手間になりますがWebページを印刷して確認してもらいましょう。

２．診断結果を確認する

すべてのチェック項目に回答すると診断結果が表示されます。利用者登録を済ませておけば、診断結果の履歴を保存することもできます。

診断結果はWebページ上で確認するほか、PDFやCSVに出力してダウンロードすることもできます。CSV形式で出力すれば、表計算ソフトやデータベースのデータとして利用することも可能です。

セルフチェックで分かることは？

47の質問に回答すると、10の指示項目についての評価値が［表］の通りに算出され、［図1］のレーダーチャートが作成されます。

［表］

［図１］

指示項目の評価値・レーダーチャートについては、［図2］のように同業種や全企業平均と比較することができます。

［図2］

このように平均と比べることができれば、１つ１つの指示項目の意味は分からずとも、自社の取り組みが遅れているのか進んでいるのか一目で確認することができます。経営者にとっては、経営判断の指標となる有用な情報になることでしょう。

他にも、１０の指示項目の事例についても確認することができます。これは、サイバーセキュリティ対策を具体的に検討する際に非常に役に立ちますので、担当者の方はぜひ参考にして欲しい情報です。

ただし、事例については評価値に関係なく同じものが提示されるにとどまっています。評価値に合わせて取るべき事例が提示されるよう、これからのサービス改善に期待したいところです。

最後に

経営者によって推進されるべきサイバーセキュリティ対策ですが、専門知識が無ければ難しいことも事実です。今回ご紹介したツール以外にも、独立行政法人情報処理推進機構はサイバーセキュリティに関する様々な情報とツールを提供していますので、それらを有効活用して、積極的にサイバーセキュリティ対策に取り組んでください。