Moshiru
会社情報記事一覧無料スキャン

会社のセキュリティ教科書　第12部 12-4

セキュリティガバナンスとは｜経営とセキュリティをつなぐ仕組みと戦略

公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • セキュリティを経営の課題として、役員会で扱いたいとき
  • 取引先のチェックシートで「経営層の関与」や「責任者の任命」を聞かれたとき
  • CISMやCISSPのガバナンス分野を、会社の実務の言葉でつかみたいとき

読み終えたあと、社内でこう言えます

「セキュリティの責任者と、役員会への報告の形を整理しました」

結論：セキュリティガバナンスとは、経営者がセキュリティの方向を決め、状況を見て、直させる仕組みです。現場が対策を回す「マネジメント」とは役割が違います。経済産業省の「サイバーセキュリティ経営ガイドライン Ver3.0」（2023年3月）は、対策を「投資」と位置づけ、担当者への丸投げは許されないとしています。中小企業なら、年に数回の役員会で「方針・予算・報告」の3つを議題にするところから始められます。

セキュリティガバナンスは、経営者が方向を決め、資源を割り当て、報告を受けて評価し、関係者に説明する4つの働きでできている

セキュリティガバナンスとは？マネジメントとの違い

ガバナンスは「統治」と訳されます。会社の行き先を決め、その通りに進んでいるかを見張る働きです。一方のマネジメント（管理）は、決まった方向に向けて、日々の対策を計画し、実行する働きです。

項目ガバナンスマネジメント
主に担う人社長・役員会情報セキュリティ責任者・担当者
問い正しいことをしているか正しくやれているか
決めること方針、許せるリスクの水準、予算、責任者対策の中身、手順、日程、担当の割り振り
頻度の例四半期〜年に1回毎日〜毎月

規格ではどう書かれているか

情報セキュリティガバナンスの規格には、JIS Q 27014:2015（国際規格ISO/IEC 27014:2013に対応）があります。適用範囲には、組織が情報セキュリティの活動を評価・指示・モニタ・コミュニケーションできるようになる、と書かれています。国際規格は2020年12月に第2版が出ています。

情報処理推進機構（IPA）の「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月）も、コラムで同じ考え方を紹介しています。経営者が「方向付け」をし、状況を「モニタリング」し、効果を「評価」して方向付けを見直すサイクルです。

NIST CSF 2.0で加わった「統治（Govern）」

米国立標準技術研究所（NIST）のサイバーセキュリティフレームワーク（CSF）2.0（2024年2月）は、6つ目の機能として「統治（Govern）」を加えました。中身は次の6分類です。詳しくはサイバーセキュリティフレームワーク（6-5）で扱います。

分類会社の言葉で
組織の状況（GV.OC）事業の目的、取引先の期待、法令や契約の要求をつかむ
リスク管理戦略（GV.RM）どこまでのリスクなら許せるかを決める
役割・責任・権限（GV.RR）誰が何に責任を持つかを決める
方針（GV.PO）方針を定め、伝え、守らせる
監督（GV.OV）結果を見て、戦略を直す
サプライチェーン（GV.SC）委託先や仕入先のリスクを管理する

サイバーセキュリティ経営ガイドラインは経営者に何を求めている？

経済産業省とIPAの「サイバーセキュリティ経営ガイドライン Ver3.0」（2023年3月24日）は、経営者が認識すべき「3原則」と、責任者（CISO等）に指示すべき「重要10項目」をまとめています。CISOは最高情報セキュリティ責任者のことです。3原則の要点は次のとおりです。

  1. 経営者のリーダーシップ：サイバーセキュリティのリスクを、経営のリスクの1つとして認識し、自ら対策を進める。
  2. サプライチェーン全体：自社だけでなく、拠点や取引先、委託先まで目を配る。
  3. 関係者との対話：平時から関係者とリスクや対策を共有し、事故のときの連絡体制にもつなげる。

重要10項目は、大きく3つのまとまりに分かれます。

まとまり指示
体制をつくる1 対応方針の策定／2 リスク管理体制の構築／3 資源（予算、人材等）の確保
リスクを知って手を打つ4 リスクの把握と対応計画／5 効果的に対応する仕組み／6 PDCAによる継続的改善
事故とつながりに備える7 緊急対応体制／8 事業継続・復旧体制／9 サプライチェーン全体の状況把握／10 情報の収集・共有・開示

このガイドラインの対象は、大企業と中小企業（小規模事業者を除く）の経営者です。社員が少ない会社は、IPAの中小企業向けガイドラインにある「3原則」と「重要7項目の取組」が使いやすいでしょう。予算と人の確保、対策の実行と報告、見直しの指示など、骨組みは共通しています。

セキュリティ戦略はどう立てる？事業の目標から逆算する

セキュリティ戦略は、製品を選ぶことではありません。事業の目標を守るために、何に力を入れ、何を後回しにするかを決めることです。次の順で考えると、経営の話としてまとまります。

  1. 事業の目標を確かめる：今後3年で伸ばしたい取引や、始めたいサービスを書き出す。
  2. 最も困る事態を決める：「出荷が3日止まる」「取引先の図面が漏れる」など、経営として避けたいことを3つ程度に絞る。
  3. 許せる水準を決める：「受注システムは1日以内に戻す」のように、どこまでなら受け入れるかを決める。
  4. 今の状態との差を見る：リスクアセスメント（5-3）で、差が大きい所を洗い出す。
  5. 重点と予算を決める：差が大きく、事業への影響も大きい所から、年ごとの重点に落とす。
  6. 方針として宣言する：基本方針（6-1）に書き、社内と取引先に示す。

3つ目の「許せる水準」は、リスク選好（リスクアペタイト）とも呼ばれます。対策しきれないリスクを社長が受け入れるときの書き方は、残留リスクとリスクの受容（5-6）にまとめています。

役員会でセキュリティをどう扱う？議題と報告の型

役員会でセキュリティを扱うときは、技術の説明より、経営者にしか決められないことを議題にします。次の4つが基本です。

議題経営者が決めること頻度の目安
方針基本方針の承認、最も困る事態の見直し年1回
予算と人翌年度の予算、責任者の任命、外部委託の範囲年1回
報告指標の確認、事故とヒヤリハット、取引先からの要請四半期に1回
判断受け入れるリスクの承認、大きな事故のときの事業判断その都度

たとえば社員30人の部品商社では（架空の例）

社長と役員2人の会社で、総務課長が情報セキュリティを兼務しているとします。月1回の役員会のうち、四半期に1回、15分だけセキュリティの時間を取ります。総務課長は次の1枚を出します。

最後の「決めてほしいこと」が、ガバナンスの中心です。報告を聞くだけで終わらせず、その場で判断を記録します。指標の選び方と年間の回し方は、次の節セキュリティプログラムの運営（12-5）で扱います。

誰が何に責任を持つ？社長・責任者・担当・外部の分け方

ガバナンスの土台は、責任の置き場所を決めることです。情報システムの担当がいない会社でも、次の4つの役割は決められます。

役割担う人の例主な責任
最終責任者社長方針の承認、予算、リスクの受容、事故のときの事業判断
情報セキュリティ責任者役員または部長（CISO等）計画づくり、社長への報告、部門間の調整
担当者総務や情報システムの兼務者日々の設定、点検、記録、社員からの相談
外部の専門家ITベンダー、セキュリティ事業者専門的な判断の補佐、診断、事故対応の支援

外部に頼めるのは作業と助言までです。何を守り、どこまでのリスクを受け入れるかを決める責任は、会社に残ります。経産省ガイドラインも、対策を怠って損害が出たときに、経営者が会社法や民法上の責任を問われうると注意を促しています。自社に当てはまる責任の範囲は、必要に応じて弁護士に確かめてください。

チェックシートではこう聞かれる

よくある設問答え方の例
情報セキュリティ基本方針は、経営者が承認していますか。はい。代表取締役が承認し、年1回の役員会で見直しています。
情報セキュリティの責任者を任命していますか。はい。管理部長を情報セキュリティ責任者に任命し、社内に周知しています。
対策の状況を、経営層に定期的に報告していますか。はい。四半期に1回、指標と事故の状況を役員会に報告し、議事録に残しています。
情報セキュリティ対策の予算を確保していますか。いいえ。現在は個別に支出しており、〇月の予算会議で年間の予算枠を設ける予定です。

経営層の関与を問う設問は、議事録や任命の記録が根拠になります。書き方はチェックシートの回答の書き方も参考にしてください。

試験ではここが問われる

CISM 1・CISM 3・CISSP 1・SG（用語）

  • ガバナンスとマネジメントの区別：方向を決めて監督するのがガバナンス、計画して実行するのがマネジメント。経営層の役割はガバナンス側です。
  • JIS Q 27014のプロセス：評価・指示・モニタ・コミュニケーション。SGのシラバスにも「情報セキュリティガバナンス（JIS Q 27014）」が用語として載っています。
  • 戦略は事業に合わせる：CISMとCISSPは、セキュリティを事業の目標・使命に整合させることを重視します。技術の都合で戦略を決める選択肢は誤りになりやすいです。
  • NIST CSF 2.0の統治（Govern）：2.0で加わった機能で、状況・リスク戦略・役割・方針・監督・サプライチェーンの6分類です。
  • 正当な注意（due care）と正当な調査（due diligence）：一般に、前者は妥当な対策を実際に行うこと、後者はリスクを調べて把握し続けることと整理されます。

確認問題

問1 情報セキュリティのガバナンスとマネジメントの役割分担として、最も適切なものはどれですか。

  1. ア 経営層がファイアウォールの設定を決め、担当者が予算を承認する
  2. イ 経営層が方針と許せるリスクの水準を決め、責任者と担当者が対策を計画して実行する
  3. ウ 経営層は報告を受けないほうが、現場の判断が速くなる
  4. エ ガバナンスは外部の専門家に任せ、社内ではマネジメントだけを行う
答えと解説
正解：イ　方向を決めて監督するのがガバナンス、計画して実行するのがマネジメントです。アは役割が逆です。ウは監督の仕組みがなくなります。エは誤りで、外部には作業と助言を頼めても、判断の責任は会社に残ります。

問2 社員40人の卸売業（架空）の社長が「セキュリティは総務に任せてある」と言い、報告を受けたことがありません。経産省のサイバーセキュリティ経営ガイドラインの考え方に沿った次の一手として、最も適切なものはどれですか。

  1. ア 総務の判断で、高価な製品を導入させる
  2. イ 事故が起きるまで、今の体制のまま様子を見る
  3. ウ 責任者を任命し、定期的に対策の状況を報告させ、予算と方針を経営として決める
  4. エ 社員全員に、自分のパソコンの対策を自由に決めさせる
答えと解説
正解：ウ　ガイドラインは担当者への丸投げを戒め、資源の確保や定期的な報告を経営者の役割としています。アは経営の判断がないまま製品を選んでいます。イとエは、組織としての方針と監督がありません。

問3 NIST サイバーセキュリティフレームワーク（CSF）2.0で新たに加わり、ほかの5つの機能の土台になるとされる機能はどれですか。

  1. ア 識別（Identify）
  2. イ 統治（Govern）
  3. ウ 検知（Detect）
  4. エ 復旧（Recover）
答えと解説
正解：イ　CSF 2.0（2024年2月）で統治が加わり、6つの機能になりました。ア・ウ・エは1.1のころからある機能です。統治には、役割と責任、方針、監督などが含まれます。

よくある質問

社員が少ない会社にも、セキュリティガバナンスは必要ですか？
はい、必要です。ただし大きな委員会はいりません。社長が方針を承認し、責任者を1人決め、年に数回報告を受けて判断する。この3つがあれば、ガバナンスの骨組みはできています。
CISO（最高情報セキュリティ責任者）を必ず置かないといけませんか？
CISOという肩書きは必須ではありません。大事なのは、責任を持つ人が決まっていて、社長に報告する道があることです。中小企業では、役員や部長が情報セキュリティ責任者を兼ねる形がよく見られます。
役員会がない会社では、どこで扱えばよいですか？
経営会議や朝礼など、社長が判断する場であればどこでも構いません。大事なのは、決めたことと日付を記録に残すことです。記録は、取引先のチェックシートで「経営層の関与」を説明するときの根拠にもなります。

この記事のまとめ

体制の記録を根拠に、回答案を確かめて出す

Moshiruは、打合せなしでテキストだけでお受けします。取引先から届いたセキュリティチェックシートに、御社の体制と記録に合わせた回答を作ってお返しします。責任者の任命や役員会への報告がまだの項目は、「いいえ」と予定の書き方を添えます。

回答代行を見る20問まで1.5万円・打合せなしメニューにないことを頼む文面で合意するまで料金はかかりません

参考にした資料

  1. 経済産業省・IPA「サイバーセキュリティ経営ガイドライン Ver3.0」（2023年3月）
  2. IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月）
  3. IPA「サイバーセキュリティ経営ガイドラインVer3.0実践のためのプラクティス集」第4版（2023年10月）
  4. 日本規格協会「JIS Q 27014:2015 情報技術－セキュリティ技術－情報セキュリティガバナンス」（2015年7月、プレビュー）
  5. ISO「ISO/IEC 27014:2020 Information security, cybersecurity and privacy protection — Governance of information security」（2020年12月）
  6. NIST「The NIST Cybersecurity Framework (CSF) 2.0」（2024年2月）
  7. ISACA「CISM Exam Content Outline」（2026年10月閲覧）
  8. ISC2「CISSP Certification Exam Outline」（2024年4月から有効）