セキュリティ経営と政府基準

セキュリティ経営とは、情報セキュリティを経営上の重要課題と位置付け、経営者が自らの責任で組織全体の対策を統制することをいう。政府基準としては、政府情報システムのためのセキュリティ評価制度（ISMAP）の管理基準があり、その構成と各基準の役割を理解しておくことが求められる。経営者の役割、ガバナンスとマネジメントの区別、事業継続との関係を一体で捉えることが要点である。

経営者が認識すべき原則と指示事項

経済産業省とIPAが策定したサイバーセキュリティ経営ガイドラインは、企業がIT活用を進める中で、サイバー攻撃から企業を守る観点から経営者が認識すべき3原則を示す。あわせて、サイバーセキュリティ対策の責任者となる担当幹部に、経営者が指示すべき重要10項目をまとめている。 このガイドラインは経営者の認識と指示事項を示す指針であり、情報セキュリティマネジメントシステム（ISMS）の方針や管理策の体系とは目的が異なる。 Ver1.1においても、3原則と担当幹部への指示事項をまとめる構成であり、経営者が対策の方向性を決める役割が明確にされていた。

ISMAP管理基準の三つの構成

ISMAP管理基準は、ガバナンス基準、マネジメント基準、管理策基準の三つで構成される。監査基準を四つ目の構成要素として加える記述は誤りであり、この三つの構成を正確に覚えておく必要がある。 2024年の改定版でも、同じ三つの構成が示されている。

ガバナンス基準は、経営陣が実施すべき事項を定めるものであり、情報セキュリティガバナンスのプロセスとして、評価、指示、モニタ、コミュニケーション、保証の各プロセスを含む。このうち保証は、ガバナンスとその達成水準について独立かつ客観的な意見を提供するプロセスである。