セキュリティガバナンスとは

ガバナンスの定義と目的

セキュリティガバナンスとは、組織全体でセキュリティリスクを適切に管理し、事業目標の達成を支援するための統治の仕組みです。単なる技術的対策の集合ではなく、経営層から現場の従業員まで、組織全体が一貫した方針のもとでセキュリティに取り組むための枠組みを指します。

マルウェア感染対策を例にとると、アンチウイルスソフトの導入やEDRの運用といった技術的対策は重要ですが、それだけでは十分ではありません。誰がどのような責任を持ち、どのような基準で判断し、どのように実行状況を監視するか—こうした組織的な仕組みがなければ、対策は場当たり的になり、効果を発揮できません。

要素	定義	役割
ガバナンス（Governance）	組織の目標達成を導く統治の仕組み	方向性の設定、監督、説明責任
リスク管理（Risk Management）	リスクの特定・評価・対応のプロセス	リスクの把握と許容範囲内での管理
コンプライアンス（Compliance）	法令・規制・基準への準拠	法的要件の充足、監査対応

これら3つの要素はGRC（Governance, Risk, Compliance）として統合的に管理されることが多く、セキュリティガバナンスはその中核を担います。

ITガバナンスとの関係

セキュリティガバナンスは、より広範なITガバナンスの一部として位置付けられます。ITガバナンスがIT投資・運用全般の最適化を目的とするのに対し、セキュリティガバナンスはセキュリティリスクの管理に特化しています。ただし、サイバーリスクの重要性が高まる中、セキュリティガバナンスを独立した体制として構築する企業も増えています。

コーポレートガバナンスとの関係

サイバーセキュリティは企業価値に直結するリスクであるため、コーポレートガバナンスの一環としても捉えられます。経営層向けサイバーリスク管理で解説した通り、取締役会レベルでのセキュリティ監督が求められています。

なぜガバナンスが必要なのか

ガバナンスが不在または不十分な組織では、以下のような問題が発生します。

場当たり的な対応の限界

インシデントが発生するたびに対策を講じる「もぐらたたき」では、根本的な改善につながりません。ランサムウェア攻撃を受けてから慌てて対策を検討するのでは遅すぎます。体系的なリスク評価と計画的な対策実施が必要です。

組織内の不整合

部門ごとにセキュリティ対策がバラバラでは、最も弱い部分が攻撃者に狙われます。フィッシング詐欺対策が徹底されていない部門が侵入口となり、組織全体が被害を受けるケースは少なくありません。

説明責任の不在

誰が何に責任を持つのかが不明確だと、問題発生時に「誰の責任か」という議論に時間を費やすことになります。また、外部（株主、取引先、規制当局）への説明も困難になります。

リソースの非効率な配分

リスク評価に基づかない投資は、重要でない領域に過剰投資したり、重要な領域が手薄になったりする原因となります。

「セキュリティガバナンスとは、組織がセキュリティリスクを管理し、事業目標を達成するために、一貫した方向性を設定し、監督し、説明責任を果たすための仕組みである」

— ISO/IEC 27014 情報セキュリティガバナンス

---

ガバナンス体制の設計

組織構造とレポーティング

セキュリティガバナンスを機能させるためには、適切な組織構造とレポーティングラインの設計が不可欠です。多くの組織で採用されているのが3ラインモデル（旧：3線ディフェンス）です。

ライン	役割	セキュリティにおける担当
第1ライン	業務部門（リスクオーナー）	各部門でのセキュリティ実践、インシデント報告
第2ライン	リスク管理・コンプライアンス機能	CISO/セキュリティチーム、ポリシー策定、監視
第3ライン	内部監査機能	独立した評価、ガバナンス有効性の検証

第1ライン：業務部門

各業務部門は、自部門のセキュリティリスクのオーナーとして、日常的なセキュリティ対策の実践、従業員への指導、インシデントの早期報告などを担います。「セキュリティはIT部門の仕事」ではなく、全部門の責任であることを明確にします。

第2ライン：リスク管理・コンプライアンス機能

CISO（最高情報セキュリティ責任者）を中心とするセキュリティチームが、ポリシーの策定、リスク評価、監視、助言などの機能を担います。第1ラインの活動を支援し、監視する役割です。CSIRT/SOCもこの機能に含まれます。

第3ライン：内部監査機能

第1・第2ラインから独立した立場で、ガバナンスの有効性を評価します。セキュリティ対策が適切に実施されているか、ポリシーが遵守されているかを検証し、経営層・取締役会に報告します。

組織規模別の体制例を示します。

組織規模	推奨体制	特徴
大企業（1,000人以上）	専任CISO＋専任セキュリティチーム	24時間SOC、専門人材配置
中堅企業（300〜1,000人）	兼任CISO＋セキュリティ担当＋MDR	外部サービス活用、効率的な体制
中小企業（300人未満）	IT責任者＋外部MSSP	外部委託中心、最小限の内部体制

役割と責任の明確化

ガバナンスを機能させるためには、役割と責任を明確に定義する必要があります。RACIマトリックス（Responsible, Accountable, Consulted, Informed）を活用して整理します。

取締役会

セキュリティリスク管理の最終的な監督責任を負います。リスク許容度の設定、重要な投資判断の承認、CISOからの報告受領などを行います。

経営層（CEO、CFO等）

セキュリティを経営課題として位置付け、必要なリソースの配分を意思決定します。インシデント発生時の重要判断（公表、身代金対応等）も経営層の責任です。

CISO（最高情報セキュリティ責任者）

セキュリティ戦略の策定・実行の執行責任を担います。リスク評価、対策計画、インシデント対応、経営層への報告などが主な職務です。

セキュリティ委員会

部門横断的な課題を協議し、方針を調整する場として機能します。各部門の代表者が参加し、全社的な視点でセキュリティを推進します。

各部門責任者

自部門のセキュリティ対策の実行責任を負います。ポリシーの遵守、従業員教育、インシデント報告などを担当します。

全従業員

セキュリティポリシーの遵守、不審事象の報告など、日常的なセキュリティ実践の責任を負います。ソーシャルエンジニアリングへの対処など、人的防御の最前線です。

経営層の関与

組織的マルウェア対策において、経営層の関与は成功の鍵です。具体的には以下の形で関与します。

1. 定期的な報告受領：四半期に1回程度、CISOからリスク状況、対策進捗、インシデント報告を受けます
2. 重要事項の承認：セキュリティ投資計画、ポリシー変更、リスク許容度設定などを承認します
3. 有事の意思決定：重大インシデント発生時に、公表判断、事業継続判断などを下します

---

リスク管理フレームワーク

リスクアセスメントの実施

セキュリティガバナンスの中核となるのが、リスクアセスメントです。組織が直面するマルウェアリスクを体系的に特定・評価し、対策の優先順位を決定します。

アセスメント手法	特徴	適用場面
定性的評価	リスクを「高・中・低」等で評価	迅速な評価、全社的なリスク把握
定量的評価	リスクを金額で評価（ALE等）	投資判断、経営報告
シナリオベース	想定シナリオごとに影響を評価	BCP策定、演習計画

リスクアセスメントの基本ステップは以下の通りです。

1. 資産の特定：保護すべき情報資産、システム、プロセスを洗い出します
2. 脅威の特定：ランサムウェア、標的型攻撃など、想定される脅威を列挙します
3. 脆弱性の評価：現状の対策レベル、残存する弱点を評価します
4. 影響度の評価：リスクが顕在化した場合の事業影響を評価します
5. 発生可能性の評価：脅威が実際に発生する確率を評価します
6. リスク値の算出：影響度×発生可能性でリスク値を算出します

ALE（Annual Loss Expectancy：年間損失期待値）

定量的なリスク評価手法の代表例です。SLE（Single Loss Expectancy：1回あたりの損失額）× ARO（Annual Rate of Occurrence：年間発生率）で算出します。例えば、ランサムウェア被害のSLEが5,000万円、AROが0.1（10年に1回）の場合、ALEは500万円となります。

FAIR（Factor Analysis of Information Risk）

より精緻な定量的リスク分析フレームワークです。リスクの構成要素を分解し、モンテカルロシミュレーションを用いて確率分布としてリスクを表現します。セキュリティROI評価にも活用できます。

リスク対応の選択

アセスメントで特定されたリスクに対して、以下の4つの対応を選択します。

回避（Avoidance）

リスクの原因となる活動を停止します。例：セキュリティリスクの高いサービスの利用を禁止する

低減（Mitigation）

対策を講じてリスクを許容レベルまで下げます。例：EDRの導入、従業員教育の実施

移転（Transfer）

リスクを第三者に移転します。例：サイバー保険への加入、アウトソーシング

受容（Acceptance）

対策コストとリスクを比較し、現状のリスクを受け入れます。経営層の承認が必要です

リスクモニタリング

リスク評価は一度行えば終わりではありません。継続的なモニタリングが必要です。

KRI（Key Risk Indicator：主要リスク指標）

リスクの変化を早期に検知するための指標です。マルウェア関連のKRI例を以下に示します。

KRI	測定方法	閾値例
マルウェア検知件数	EDR/アンチウイルスの検知ログ	前月比20%以上増加で警告
パッチ未適用率	脆弱性スキャン結果	重要パッチ未適用10%以上で警告
フィッシングクリック率	訓練メールの結果	5%以上で追加教育実施
インシデント対応時間	MTTR（平均復旧時間）	SLA超過で改善検討

---

ポリシー・基準の整備

ポリシー体系の構築

セキュリティガバナンスを実効性のあるものにするためには、ポリシー体系の整備が不可欠です。セキュリティポリシー策定の詳細は別記事で解説していますが、基本的な体系を示します。

文書レベル	内容	承認者	例
基本方針（ポリシー）	組織のセキュリティに対する姿勢・原則	取締役会/経営層	情報セキュリティ基本方針
対策基準（スタンダード）	遵守すべき具体的な基準	CISO/セキュリティ委員会	パスワード基準、暗号化基準
実施手順（プロシージャ）	具体的な作業手順	部門責任者	インシデント報告手順、バックアップ手順
ガイドライン	推奨事項・ベストプラクティス	セキュリティチーム	リモートワークガイドライン

マルウェア対策関連ポリシー項目

マルウェア対策に関連する主なポリシー項目は以下の通りです。

エンドポイント保護

アンチウイルスソフトの必須化、EDRの導入基準、パッチ適用ルール、許可ソフトウェアの管理など

メールセキュリティ

添付ファイルの取り扱い、外部リンクの注意事項、不審メールの報告義務など。ビジネスメール詐欺（BEC）対策も含まれます

Web利用

アクセス制限、ダウンロード制限、クラウドサービス利用の承認プロセスなど

リムーバブルメディア

USBメモリの使用制限、外部記憶媒体の持ち込み・持ち出しルールなど

インシデント報告

不審事象の報告義務、報告先、報告期限など

ポリシーの運用

ポリシーは策定するだけでなく、適切に運用する必要があります。

• 周知・教育：全従業員にポリシーの存在と内容を周知し、理解を促進します。ユーザー意識向上プログラムと連携します
• 遵守状況の監視：技術的なコントロール（ログ監視、アクセス制御）と、定期的な点検でポリシー遵守状況を確認します
• 定期的な見直し：年1回以上、ポリシーの見直しを行います。脅威環境の変化、インシデントからの教訓、規制変更などを反映します
• 例外管理：業務上の理由でポリシーから逸脱する必要がある場合の例外承認プロセスを整備します

---

監査と評価

内部監査の実施

内部監査は、ガバナンスの有効性を検証する重要な機能です。第3ラインとして、第1・第2ラインから独立した立場で評価を行います。

監査計画の策定

年間監査計画を策定し、リスクの高い領域を優先的に監査します。マルウェア対策関連では、エンドポイント保護、インシデント対応体制、従業員教育などが監査対象となります。

監査項目の設定

ポリシーの遵守状況、技術的対策の有効性、リスク管理プロセスの適切性などを監査します。業界標準・フレームワークを参照して監査項目を設定することが有効です。

発見事項への対応

監査で発見された問題点は、是正計画を策定し、フォローアップを行います。重大な問題は経営層・取締役会に報告します。

外部評価・認証

内部監査に加え、外部からの評価・認証も有効です。

評価・認証	内容	メリット
ISO 27001認証	情報セキュリティマネジメントシステムの国際規格	取引先への信頼性証明、体系的な管理の実現
SOC 2報告書	サービス組織のセキュリティ等に関する監査報告	クラウドサービス提供者の信頼性証明
ペネトレーションテスト	実際の攻撃を模した技術的評価	技術的な脆弱性の発見
セキュリティ診断	専門家による総合的な評価	第三者視点での課題発見

「認証取得は目的ではなく手段である。重要なのは、認証取得のプロセスを通じて組織のセキュリティレベルを向上させることである」

— セキュリティ専門家の一般的見解

---

継続的改善

成熟度モデルの活用

セキュリティガバナンスは、一度構築して終わりではなく、継続的に改善していく必要があります。成熟度モデルを活用して、現状を評価し、改善の道筋を明確にします。

レベル	名称	特徴
1	初期（Initial）	場当たり的な対応、プロセスが未定義
2	反復可能（Repeatable）	基本的なプロセスが存在、属人的
3	定義済み（Defined）	プロセスが文書化され、組織全体で標準化
4	管理（Managed）	指標に基づく管理、定量的な評価
5	最適化（Optimizing）	継続的な改善、先進的な取り組み

NIST CSF成熟度ティア

NIST Cybersecurity Frameworkでは、Partial（部分的）、Risk Informed（リスク情報に基づく）、Repeatable（反復可能）、Adaptive（適応的）の4段階で成熟度を評価します。自組織の現状を評価し、目標ティアを設定して改善を進めます。

成熟度向上のロードマップ

現状の成熟度レベルから、目標レベルに到達するまでのロードマップを策定します。一足飛びにレベル5を目指すのではなく、段階的に向上させていくことが現実的です。

PDCAサイクル

継続的改善の基本はPDCAサイクルです。

1. Plan（計画）：リスク評価に基づき、対策計画を策定します
2. Do（実行）：計画に基づき、対策を実施します
3. Check（評価）：実施状況を監視し、効果を評価します
4. Act（改善）：評価結果に基づき、計画を見直し改善します

特に重要なのは、インシデントからの学習です。根本原因分析を行い、再発防止策をポリシーや対策に反映させることで、組織のセキュリティレベルは着実に向上します。

---

よくある質問

Q: セキュリティガバナンスとITガバナンスは何が違いますか？

A: ITガバナンスはIT投資・運用全般の最適化を目的とするのに対し、セキュリティガバナンスはセキュリティリスクの管理に特化しています。多くの組織ではITガバナンスの一部としてセキュリティガバナンスを位置付けますが、サイバーリスクの重要性が高まる中、独立した体制を構築する企業も増えています。いずれの形態でも、経営層の関与と明確な責任体制が重要です。

Q: 中小企業でも3ラインモデルは必要ですか？

A: 3ラインモデルの考え方自体は有効ですが、中小企業では専任者を各ラインに配置することは現実的ではありません。重要なのは、「実行」「監督」「監査」の機能が存在することです。例えば、IT担当者が第1・第2ラインを兼務し、外部の専門家に第3ラインの監査を委託するという形態も考えられます。

Q: リスクアセスメントはどのくらいの頻度で行うべきですか？

A: 全社的なリスクアセスメントは年1回以上の実施を推奨します。ただし、新システムの導入、組織変更、重大なインシデント発生時などには、随時見直しが必要です。また、KRIのモニタリングは継続的に行い、リスクの変化を早期に検知できるようにします。

Q: ISO 27001認証は取得すべきですか？

A: 認証取得は必須ではありませんが、取引先からの要求、海外展開、クラウドサービス提供などの場合に有効です。認証取得自体が目的ではなく、認証プロセスを通じてガバナンス体制を整備することに価値があります。自社の状況に応じて判断してください。

Q: ガバナンス構築の最初のステップは何ですか？

A: まず現状を把握することから始めます。①現在の対策状況の棚卸し、②役割と責任の明確化、③主要なポリシーの整備、④リスクアセスメントの実施、という順序で進めることを推奨します。完璧を目指すよりも、まずは基本的な枠組みを作り、段階的に改善していくアプローチが現実的です。

---

まとめ

セキュリティガバナンスは、組織全体でマルウェアをはじめとするサイバー脅威から身を守るための仕組みづくりです。

• 体制設計：3ラインモデルに基づき、役割と責任を明確化する
• リスク管理：体系的なアセスメントと継続的なモニタリングを行う
• ポリシー整備：階層的なポリシー体系を構築し、適切に運用する
• 監査・評価：内部監査と外部評価でガバナンスの有効性を検証する
• 継続的改善：成熟度モデルとPDCAサイクルで着実に向上させる

マルウェア感染対策の全体像や、組織的マルウェア対策もあわせてご参照ください。

---

---