経営者向けセキュリティ勉強会の進め方｜社長に30分で決めてもらう3つのこと

公開：2026年10月16日／最終更新：同／Moshiru 岡﨑 悠太

担当者のあなたにとって、社長に決めてもらう意味

兼任の担当者がいちばん困るのは、「どこまでやれば足りるか」を自分で決めてしまうことです。決めた人が担当者なら、事故のときに説明するのも担当者になります。勉強会は、その判断を本来の持ち主に返す場です。

経営とセキュリティをつなぐ仕組みの全体は、セキュリティガバナンスとはの節にあります。この記事は、その最初の30分を開く手順に絞ります。

社長に時間をもらう頼み方

頼むときは「勉強会」より「決めてほしいことが3つある」と書くほうが、時間をもらいやすくなります。時間は30分と区切り、資料は前日に渡すと伝えます。

次の文例の○○を埋めれば、メールでもチャットでも送れます。取引先から聞かれていることがあれば、それを最初に書くと急ぐ理由が伝わります。

件名：セキュリティについて30分いただけませんか（決めていただきたいこと3点）

○○社長

セキュリティについて、社長に決めていただきたいことが3つあります。
30分お時間をいただけないでしょうか。

1. セキュリティの責任者を誰にするか
2. 今年度、どこにいくらかけるか
3. 今は手を付けず、受け入れるリスクをどれにするか

きっかけは、○○様（取引先）から○○について質問があったことです。
今は私の判断で進めている所があり、会社として決めておきたいと考えました。

資料はA4で3枚にまとめ、前日にお渡しします。
候補日：○月○日（○）○時／○月○日（○）○時／○月○日（○）○時

○○（担当者名）

断られたときは、3つのうち1つだけでも10分で決めてもらいます。最初は「責任者を決める」がおすすめです。残りの2つは、責任者が決まると頼みやすくなります。

30分の時間割は、知る14分・決める10分

社長の時間は短いので、説明は3分ずつに区切ります。下の表のとおり、前半で「なぜ決めるか」を伝え、後半で決めてもらいます。

3〜10分：事故で失うものを、自社の言葉で

IPAの「中小企業のためのセキュリティインシデント対応の手引き」は、2026年6月の版です。この手引きは、事故の被害を直接と間接に分けています。

直接は、不正送金や金銭要求、対応の人件費、調査・復旧の外部委託費、代替品費、謝罪対応費、弁護士費用などです。間接は、関係者への被害の広がり、信用の低下、事業停止による機会損失です。

社長に伝えるときは、一般論より自社の場面に直します。「受注システムが3日止まったら」「主要取引先の図面が漏れたら」のように、1つか2つで十分です。

被害額や復旧期間の調査の数字と、社長に出す1枚のひな形は、セキュリティ対策をしなかった場合の損失にあります。

10〜17分：取引先と国の制度

国は「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）を進めています。経済産業省と内閣官房国家サイバー統括室の制度です。2026年3月の制度構築方針では、委託元が委託先に段階（★）を示し、対策を促すことを想定しています。

★3は、専門家の確認を受けた自己評価に、経営層の自己適合宣誓を添えて申請する仕組みです。有効期間は1年です。方針は、格付けのための制度ではないとしています。

方針は、2026年度下期の制度開始を目指すとしています。IPAの制度のサイトは、2026年9月18日に料金設定などを公開しました。準備の中身はSCS評価制度の★3とはにあります。

経営者が読む国のガイドラインは2つあります。社長に伝えるのは、「どちらも経営者の役割を書いている」という1点で足ります。

中小企業向けガイドラインの3原則は、経営者のリーダーシップ、委託先の対策まで考えること、関係者とのコミュニケーションです。重要7項目は次のとおりです。

1. 組織全体の対応方針を定める
2. 予算や人材などを確保する
3. 必要な対策を検討させて実行を指示する
4. 対策の適宜の見直しを指示する
5. 緊急時の対応や復旧の体制を整備する
6. 委託や外部サービスの責任を明確にする
7. 最新動向を収集する

上の項目名は、原文を短く言い換えています。経営ガイドラインの重要10項目は、責任者を置く大きめの会社向けの書き方です。社長が関心を持ったときに渡せるよう、一覧を資料の最後に付けておきます。

中小企業向けガイドラインは、経営者の法的な責任にも触れています。対策に最善を尽くさず損害が出た場合、取締役が善管注意義務違反などで損害賠償責任を問われることがある、という説明です。

勉強会では、この話で社長を急がせる必要はありません。「だから記録を残したい」と、記録の理由として伝えるだけで十分です。

当日の資料は、A4で3枚まで

資料はスライドより、前日に読めるA4の紙が向いています。1枚目は決めてほしい3つ、2枚目は失うものと制度、3枚目は記録の様式です。

案を書かずに「どうしますか」と聞くと、社長は判断の材料がなく、決まらずに終わりがちです。担当者が案を出し、社長が選ぶか直す形にします。

投資の案は、教科書のセキュリティの予算と補助金の節を見て、使える制度と合わせて書くと通りやすくなります。

決めてもらう3つの記録の様式

様式は1枚にまとめ、当日の終わりに社長の名前と日付を入れてもらいます。受け入れるリスクの書き方を詳しく知りたい場合は、残留リスクとリスク受容の文書を参考にしてください。

【セキュリティについて経営者が決めたこと】
決めた日：20XX年X月X日　決めた人：代表取締役 ○○ ○○
記録した人：○○（担当者）

1. 責任者
　・セキュリティの責任者：○○（役職）
　・担当者：○○　　代わり：○○
　・責任者に任せる範囲：○○（例：○万円までの対策の決定）
　・社長への報告：○か月に1回（次回：○月○日）

2. 今年度、投資すること（優先の順）
　①○○（費用の目安：○万円、時期：○月まで）
　②○○（費用の目安：○万円、時期：○月まで）
　③○○（費用の目安：○万円、時期：○月まで）

3. 今は手を付けず、受け入れるリスク
　・リスク：○○
　　受け入れる理由：○○
　　代わりにすること：○○（例：記録だけ残す、保険で備える）
　　見直す時期：○年○月

署名：＿＿＿＿＿＿＿＿＿＿

責任者の決め方と、担当者・外部との分け方は情シスがいない会社のセキュリティ担当の決め方にあります。様式の1を埋める前に読んでおくと、案が作りやすくなります。

経営者向けスキルツリーと確認テストの使い方

経営者向けスキルツリー（tree-executive.html）は、経営者が読む教科書の節を順に並べた地図です。勉強会の資料と一緒に送ると、社長が気になった所を自分で読めます。

確認テスト（test-executive.html）は、ブラウザで受けられます。問題は教科書の確認問題から出され、結果はどこにも送られません。終わると受講記録を印刷できます。

1. 勉強会の前日、資料と一緒にツリーのURLを送る。読むのは任意と添える。
2. 勉強会のあとに、テストのURLを送り、受けてもらう。
3. 受講記録を印刷してもらい、3つの記録の様式と同じ場所に保管する。

役員が複数いる会社では、同じURLを役員全員に送ります。受講記録がそろうと、取引先から経営層の教育を聞かれたときにも答えられます。

上司への報告が必要な場合は、記録の様式の写しを添えれば足ります。チェックシートで経営層の関与を聞かれたときの書き方は、チェックシートの回答の書き方を参考にしてください。

よくある質問

この記事のまとめ

• 経営者向けの勉強会は、責任者・投資する所・受け入れるリスクの3つを、社長に決めてもらう30分にする。
• 頼むときは「決めてほしいことが3つある」と書き、資料はA4で3枚、担当者の案を必ず書いて渡す。
• 決まったことは様式に署名と日付を入れて残し、スキルツリーと確認テストの受講記録と一緒に保管する。

参考にした資料

1. IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月27日公開。2026年10月16日確認）
2. IPA「中小企業のためのセキュリティインシデント対応の手引き」（2026年6月。2026年10月16日確認）
3. 経済産業省「サイバーセキュリティ経営ガイドライン Ver3.0」（2023年3月24日。2026年10月16日確認）
4. IPA「サイバーセキュリティ経営ガイドラインVer3.0実践のためのプラクティス集」（重要10項目の項目名。2026年10月16日確認）
5. 経済産業省・内閣官房国家サイバー統括室「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月。2026年10月16日確認）
6. IPA「SCS評価制度」（2026年9月18日更新。2026年10月16日確認）