【日本】経産省、「サイバーセキュリティ経営ガイドラインver. 2.0」発行。ESG課題としても注目

　経済産業省は11月16日、独立行政法人情報処理推進機構（IPA）と協力し、経営者がリーダーシップをとってサイバーセキュリティ対策を推進するための指針となる「サイバーセキュリティ経営ガイドライン」を改訂し、「サイバーセキュリティ経営ガイドラインVer 2.0」を発行した。同ガイドラインは2015年12月に策定。昨今サイバー攻撃が激化しており、サイバー攻撃を受けていること自体に企業が気づかないケースも増えてきており、対応を強化するため今回の改訂に至った。

　情報セキュリティは昨今、企業のESG評価の中に組み込まれつつある。ESG評価機関でも、個人情報を多く扱う業界や社会インフラ業界について、評価項目の中に情報セキュリティが加わってきている。サイバーセキュリティは情報セキュリティの一部と捉えられる。

　サイバーセキュリティの攻撃源については、ロシアや北朝鮮を指摘する声がある。欧米政府は、こうした状況を踏まえ、対処方針の見直しや、事後対策を国内企業に求めるなど、検知・対応・復旧等の事後対策の取組に重点が置かれるようになっている。日本を含むアジア諸国は世界の平均よりもサイバー攻撃の発見に時間を要する傾向にあるという。

　経済産業省の「サイバーセキュリティ経営ガイドライン」でも、冒頭で「サイバーセキュリティは経営問題」と警告。サイバー攻撃によって純利益の半分以上を失う企業が出るなど、深刻な影響を引き起こす事件が発生しているという。今回の改訂では、「攻撃の検知」を含めたリスク対応体制や、「サイバー攻撃をうけた場合の復旧の備え」についての記載を追加。さらにビジネスパートナーや委託先等を含めたサプライチェーン全体の対応及び状況把握に関する内容も追加した。

　同「サイバーセキュリティ経営ガイドライン」は、国際規格ISO/IEC27001「情報セキュリティマネジメントシステム」及び27002「情報セキュリティマネジメントの実践のための規範」の中で、サイバーセキュリティに特化し概念レベルをまとめたもになっている。サイバーセキュリティ強化の実務面では、国際規格ISO/IEC27001及び27002を参照することが有効。

【参照ページ】サイバーセキュリティ経営ガイドラインを改訂しました

株式会社ニューラル サステナビリティ研究所