情報セキュリティの経営と組織体制

情報セキュリティの経営と組織体制とは、経営者が情報セキュリティを事業経営の一部として位置付け、責任者と組織を定めて対策を推進する仕組みである。技術的な対策を個別に積み上げるだけでは事業の継続を守れないため、経営判断、リスクへの対応、事業の復旧手順を組織全体で結び付けて管理する必要がある。試験では、経営者向けの指針、国際規格の手順、各組織の役割を正しく区別できるかが問われる。

経営者が担う責任と指針の役割

サイバーセキュリティ経営ガイドラインは、企業がIT活用を進める中でサイバー攻撃から企業を守る観点から、経営者が認識すべき3原則と、対策の責任者となる担当幹部に経営者が指示すべき重要10項目をまとめた指針である。 経営者の判断を担当幹部の具体的な対策へ橋渡しする点が、このガイドラインの中心にある。旧版にあたるVer1.1でも、経営者が認識すべき原則と担当幹部への指示事項をまとめる構成は同じである。 経営者は担当幹部に対策を指示し、その進捗を経営上の判断材料として受け取る。この循環が、経営とセキュリティを一体で扱う考え方の基礎になる。

事業継続とリスクアセスメント

事業継続計画（BCP）は、災害や事故などで事業が中断・阻害された場合に、重要な事業を復旧し再開して、あらかじめ定めたレベルまで回復させるための手順を文書化したものである。 平時に復旧の優先順位と目標を決めておくことで、非常時に場当たりの判断を避けられる。計画は一度作って終わりではなく、訓練や見直しを通じて実効性を保つ必要がある。

リスク管理の基本となるJIS Q 31000:2019（リスクマネジメント－指針）では、リスクアセスメントをリスク特定、リスク分析、リスク評価の三つのプロセスで構成する。 リスク特定では事業に影響する脅威や脆弱性を洗い出し、リスク分析では発生の可能性と影響の大きさを把握する。リスク評価では、判断基準と照らして対応の要否や優先度を決める。この順序を押さえておくと、後続のリスク対応がどの段階の結果を受けて行われるかが理解しやすい。

組織の役割と実務での連携

JPCERT/CCは、特定の政府機関や企業から独立した組織であり、国内のコンピュータセキュリティインシデントの報告を受け付けて対応を支援する。 発生状況の把握、手口の分析、再発防止策の検討や助言も担うため、被害を受けた組織は外部の専門組織と情報をやり取りしながら原因の究明と再発防止を進める。