最新セキュリティマネジメント（第4回）セキュリティリスク管理体制の構築

　全社的なセキュリティ体制を構築するには、経営者やCISOを組織横断的に補佐する「セキュリティ統括機能」の設置が有効とされている。CRIC CSF（サイバーリスク情報センター産業横断サイバーセキュリティ検討会）が提案するイメージでは、セキュリティ統括室を中心とした体系が示されているが、実際に構築される組織は企業の業態や規模により異なってくる。

　セキュリティ統括機能は、一見すると「対策のすべてを担当する組織」と捉えられるが、実際には事業部門、管理部門が主体的に取り組むほうが効率的なケースも多い。また、本来は経営層がトップダウンで意思決定すべき事項であっても、技術的な部分をカバーする役割を果たす必要が出てくる。具体的な業務（タスク）の内容を挙げてみよう（表1参照）。

・方針策定
　CISOや経営層が担う業務のうち、一定の専門的な知見が必要となるものについて支援し、意思決定や判断を補佐

・実務
　組織横断的対応が必要な業務を、自らが主体となって実施

・支援
　事業部門や管理部門が主体となって行う実務を、一定の専門的な知見を用いて支援

　セキュリティ統括機能による対策の一元化は、すでにリスクマネジメント機能を構築している企業にとっても重要だ。クラウドなど外部サービスの導入が進んでいる現在、部門を超えた統合的管理が求められている。IoT機器、FA（生産管理システム）といった事業部門が管理するシステムでも、データ共有などを目的とした相互接続が一般化しつつあり、これらのセキュリティ対策を俯瞰（ふかん）的な立場で統括する機能が有効となる。

　何らかのインシデントが発生した際、迅速かつ的確な組織としての意思決定と対応を行うためには、組織内外に点在する情報の集約や、組織内外の関係者との一元的なコミュニケーションを行う必要がある。再発防止策を検討する場合には、平時と有事の対応を一元的に統括する機能を持たせることが望ましい。

　また、人手不足でセキュリティ人材の確保が難しい企業にとっても、一元化は有効な手段となる。対策の企画・立案や、インシデント発生時の適切な対応、公表された脆弱性や新たなサイバー攻撃が事業に及ぼす影響の判断などを行えるスキルを備えた人材を1カ所に配置し、全社で活用できるようにすることは合理的な手法だ。

表1　セキュリティ統括機能に相当する業務（タスク）の概観（CRIC CSF） [caption id="attachment_42104" align="aligncenter" width="600"] ※出典：サイバーセキュリティ体制構築・人材確保の手引き（経産省・IPA）[/caption]

実務担当部門の選定

　上記に続いて、セキュリティ統括機能と連携しつつ、実務を担う部門、関係会社を選定することになる。デジタル関連の実務はIT部門が担う場合が一般的だが、最近では事業部門と共同、あるいはデジタル化専門部門を中心に実施されるケースも増えている。

　部門の抽出に当たってはIT部門のほか、デジタル化施策を進めている事業部門、共同チーム、デジタル化専門部門を見落とさないようにすることが大切だ。また、これらの部門・チームが自力で対策を実施することが困難な場合、セキュリティ統括機能を担う組織の支援を受けながら適切な対策を検討することが求められる。

　次に、各部門がどのような業務を行う必要があるかの洗い出しを行う。洗い出しを簡略化する方法としては、企業におけるセキュリティ対策業務として実施すべき業務は、あらかじめ整理されたリストの活用が有効である。

　リストの一例として「ITSS＋」が挙げられる。ITSS＋は企業のセキュリティ対策に必要なセキュリティ関連業務を17分野に整理したリスト。経済産業省とIPAが検討した結果が2020年に改訂版として公表されている。具体的な進め方は企業ごとに異なるため、外部委託の必要性を含め、自社に適した体制構築を検討したい。

　セキュリティリスク管理体制の構築は、不測の事態に備えるとともに、企業の将来をも左右する重要なポイントだ。少しでも「情シス・ベンダーまかせ」を感じる場合は改めて現状を見直し、全社的な取り組みを推進しよう。