経営リスクを管理する：企業の情報セキュリティ・ガバナンス実践ガイド

2025年12月03日

現代の企業経営において、情報セキュリティ・ガバナンスは、法令遵守と事業継続の土台となります。本コラムでは、企業が取り組むべき主要なセキュリティ管理体制、認証制度、およびリスク対策について、実務的な観点から解説します。

この記事を監修したのは

代表弁護士春田 藤麿

第一東京弁護士会 所属

経歴

慶應義塾大学法学部卒業
慶應義塾大学法科大学院卒業
宅地建物取引士

詳しくはこちら

信頼の証：プライバシーマーク（Pマーク）取得条件

プライバシーマーク（Pマーク）は、日本工業規格「JIS Q 15001個人情報保護マネジメントシステム」に基づき、適切な個人情報保護体制を整備・運用している事業者に付与される認定マークです。主に消費者からの信頼獲得を目的とします。

主な取得条件の概要

個人情報保護マネジメントシステム（PMS）の構築

JIS Q 15001に適合した文書化されたシステムを構築し、運用すること。

体制の整備

個人情報保護管理者、監査責任者などを任命し、組織的な体制を確立すること。

教育・研修

全従業員に対し、個人情報保護に関する教育を定期的に実施すること。

リスク分析と対策

個人情報を取り扱う上でのリスクを特定・評価し、適切な安全管理措置を講じること。

運用実績

PMSを概ね6か月以上運用し、内部監査と代表者による見直しが実施されていること。

国際標準のマネジメント：ISO 27001の概要

ISO 27001（ISMS：Information Security Management System）は、情報の機密性、完全性、可用性の3要素をバランスよく維持・改善するための国際標準規格です。Pマークが個人情報に特化しているのに対し、ISO 27001は企業が取り扱うすべての情報資産を対象とします。

主要な要素

リスクアセスメントと管理

情報資産に対するリスクを特定し、組織の許容水準に基づいて対策（管理策）を選択・実施します。

PDCAサイクル

計画（Plan）→実行（Do）→点検（Check）→改善（Act）のサイクルを回し、継続的に情報セキュリティ体制を改善します。

適用範囲

認証の対象とする組織、拠点、事業、情報資産を明確に定義します。

管理策（附属書A）

アクセス制御、物理的セキュリティ、法規制の遵守、インシデント管理など、具体的な対策項目が定められています。

有事の司令塔：CSIRT 設置企業例と役割

CSIRT (Computer Security Incident Response Team) は、セキュリティインシデント（事故）が発生した際に、その対応を専門的に行う組織です。迅速かつ適切な対応は、被害の最小化と信頼回復に直結します。

CSIRT設置の必要性と企業例

設置の必要性

巧妙化するサイバー攻撃に対し、専門的な知識と権限を持って対応を統括し、被害拡大を防ぐため。

設置企業例

金融機関、通信キャリア、大手製造業、インフラ企業など、大規模で機密性の高い情報を扱う企業や、社会インフラを担う企業群で設置が進んでいます（例：[社名A] CSIRT、[社名B] Security Response Teamなど）。多くの場合、部門横断的な体制で、技術チーム、法務、広報などが連携します。

クラウド利用の指針：クラウド利用規定の作成

クラウドサービスの利用が一般化する一方で、無許可の利用（シャドーIT）や設定ミスによる情報漏洩リスクが増大しています。これを防ぐには、全社的なクラウド利用規定の策定が不可欠です。

規定に盛り込むべき主要項目

利用の承認プロセス

利用開始前のリスク評価、部門責任者およびセキュリティ部門の承認フロー。

選定基準

クラウド事業者のセキュリティレベル（ISO/IEC 27017などの認証有無）、データ保管場所、SLA（サービス品質保証）の基準。

データ管理責任

クラウドサービス上でのデータ分類、暗号化、アクセス権限設定など、利用者側（企業）の責任範囲を明確化。

アカウント管理

多要素認証（MFA）の義務付け、不要なアカウントの削除ルール。

情報管理の基本文書：情報管理規定の例文と構成

情報管理規定は、企業が保有するすべての情報資産を適切に取り扱うための基本ルールを定めた文書です。セキュリティポリシーの下位規定として機能します。

例文（構成要素）

目的

規定を定める目的（情報資産の保護、法令遵守など）を明記。

適用範囲

全従業員、役員、外部委託先など、適用対象者を規定。

情報の分類と取扱い

情報を「機密情報」「社外秘」「一般公開」などに分類し、それぞれの生成、利用、保管、移送、廃棄に関する具体的なルールを定める（例：機密情報の持ち出し禁止、特定の期間経過後の自動廃棄など）。

媒体の管理

PC、サーバー、紙媒体などの管理責任者と施錠ルール。

違反時の措置

規定に違反した場合の懲戒規定。

災害・攻撃からの復旧：BCPにおけるサイバー対策

BCP（Business Continuity Plan：事業継続計画）は、自然災害だけでなく、サイバー攻撃によるシステム停止やデータ喪失といったインシデント発生時の事業継続性を確保するために必須です。

BCPにおけるサイバー対策の焦点

復旧目標の設定

RTO（目標復旧時間）とRPO（目標復旧時点）を明確にし、重要度の高いシステムから優先順位を付けて復旧手順を策定します。

データ保護と隔離

バックアップデータをネットワークから隔離された場所に保管し、ランサムウェアなどによる同時暗号化を防ぐ対策（コールドバックアップなど）を組み込みます。

代替手段の確保

主要システムが停止した場合の業務継続のための手動プロセスや代替システム利用手順を事前に準備し、訓練します。

外部連携

弁護士、警察、セキュリティベンダーなど、緊急時に連携する外部組織との連絡体制を確立します。

テレワークを支える：テレワーク時のセキュリティルール

テレワーク環境は、従来の社内ネットワークと異なり、セキュリティホールとなりやすい要素が多いため、明確なルールが必要です。

テレワーク時のセキュリティルール（主要項目）

利用機器の限定

会社が貸与したPCやスマートフォンのみを使用し、私用PC（BYOD）の利用を原則禁止または厳しく制限する。

ネットワーク接続

会社指定のVPN経由での接続を義務付け、公衆Wi-Fiの利用を制限する。

情報漏洩防止

離席時の画面ロック、Web会議時の背景設定、機密情報の印刷・書き出しの原則禁止。

物理的セキュリティ

家族や第三者がPC画面や書類を見られないよう、作業場所を管理する。

脅威の可視化：セキュリティログの管理

セキュリティログは、インシデント発生時の原因究明、被害範囲特定、再発防止に不可欠な証拠となります。

適切なログ管理のポイント

取得対象

ファイアウォール、サーバーOS、アプリケーション、EDR、認証システムなど、セキュリティに関連するすべての機器・システムのログを取得します。

一元管理と監視（SIEM）

散在するログをSIEM（Security Information and Event Management）ツールなどに集約し、関連付けて分析することで、単体では見逃されがちな異常な挙動を検知します。

保存期間の規定

法規制や社内ポリシーに基づき、ログを改ざん不可能な形で適切な期間（例：最低1年間）保存します。

専門性の担保：情報セキュリティ資格一覧（代表例）

組織内のセキュリティ専門性を高めるため、従業員の資格取得を推奨することは有効です。

代表的な情報セキュリティ関連資格

まとめ：セキュリティ・ガバナンスの継続的な運用

企業の情報セキュリティは、特定の製品を導入したり、一度認証を取得したりして完結するものではありません。情報セキュリティ・ガバナンスとは、これら全ての要素（規定、認証、体制、技術）を経営戦略に基づいて有機的に連携させ、継続的に改善していくプロセスそのものです。

PマークやISO 27001で土台を固め、CSIRTやBCPでリスク対応力を高め、クラウド利用規定やテレワークルールで日常業務の安全性を確保することが、現代企業に求められる責務です。

情報セキュリティのコラムをもっと読む

※内容によってはご相談をお受けできない場合がありますので、ご了承ください。