サイバーセキュリティーサービスの比較・資料請求サイト|中小企業向けのセキュリティ対策を考える「サイバーセキュリティ」に関する情報メディア。日本の中小企業の情報を守るため、最新のセミナー・人材育成・製品・中小企業向けのセキュリティ対策を考えるサイバーセキュリティ情報サイトです。

情報セキュリティのための「内部組織」とは|付属書A管理目的及び管理策



付属書A管理目的及び管理策についての解説コラム第二回目は「組織」についてです。これは、管理策において前回解説した「方針群」の次に挙げられている内容です。

簡単に言ってしまえば“情報セキュリティ方針を守らせるためには組織体制が重要になる”といった内容ですが、誤解を生じやすい点もありますので、注意して見ていきましょう。

役割分担と責任の所在

「組織」としてまず最初に考えなければならない項目が、下記の2点です。

  • 役割分担
  • 責任の所在の明確化

リスクマネジメントにおいては、「誰の責任」で「誰がやったか」という事が重要になります。

「再発防止策」が需要

リスクマネジメントにおいて“100%起こさない”ということは不可能です。リスクを無くすのではなく、そのリスクが“なぜ起きたか”を明確にし、「再発防止策」を立てることが重要なのです。発生からの一連の流れを世間が納得さえすれば、組織は生き残れます。

組織=責任者が明確に決められた集団

例えば、日頃報じられる某問題での“誰が責任者かわからない”といった状況は、マネジメントシステムが正常に構築されていた場合有り得ないのです。「ガバナンスの欠如」と指摘されるのは当然と言えます。

マネジメントシステムにおいて「責任の所在の明確化」は、組織体制構築の基礎の基礎なのです。この部分ができていないのであれば、それはもう組織とは呼べません。

連絡体制の構築

続いて、連絡体制の構築が挙げられています。

近年、自社内で必要なセキュリティ情報を完璧に収集・管理するということは非常に困難です。また、何かあった時のため、国は同業他社への影響や他の関連業種への影響を考慮し、注意喚起を行う必要もあります。

その為、連絡体制の構築に関しては下記の2項目が含まれています。

  1. 関係当局の連絡
  2. 専門組織との連絡

この2項目、似たような表現なので誤解されることもありますが、それぞれの対象は以下の様になります。

  • 関係当局:公的機関
  • 専門組織:情報セキュリティに関する専門組織

連絡先の把握

「関係当局」とは、管轄の省庁等を指します。一般企業であれば、経済産業省は必須です。医療関係の場合は厚生労働省、運輸関係は国土交通省を追加する必要があるでしょう。また、個人情報やマイナンバーであれば個人情報保護委員会も該当します。

自社を管轄する公的機関はどこなのか、どこに連絡する必要があるのかを予めはっきりとさせておくことが大切です。

連絡は早急に行うこと

問題が発生した際の連絡については、スピードが需要です。早急に関係各所へ連絡し、対応を相談しましょう。これは、連絡が遅れることで「隠そうとしたのではないか」と見られる恐れがある為です。単純に社内手続きの遅れだとしても、問題発生時は普段よりスピーディな対応が求められるのです。

そういった意味でも、普段から「関係当局」「専門組織」との連絡体制はしっかりと把握しておく必要があります。

プロジェクトの責任体制

企業において業務は、通常「〇〇課」「〇〇部」といった部門毎で行われます。

しかし業務内容によっては、従業員の中から担当者をピックアップし、臨時のプロジェクトとして進められるものもあるでしょう。この際、責任体制が曖昧になってしまうケースが見受けられます。

プロジェクトであっても、会社の内部組織であることは変わりませんので、常設の部門同様情報セキュリティ管理体制が必要となります。臨時プロジェクトであれば、重要な情報を扱うケースも多いでしょうから、始動前にきちんと体制を整えておきましょう。

まとめ

  • 誰の責任で行うか
  • 誰に報告すべきか
  • 誰に連絡しなければいけないか
  • 誰に聞けば良いか

これらの項目を明確にし、問題発生時に正確に行える様整備する事が、正しい組織作りです。

次回は、最近特にその重要度が高まっている「モバイル機器及びテレワーク」について解説します。





書籍「情報漏洩対策のキホン」プレゼント


当サイトへの会員登録で、下記内容の書籍「情報漏洩対策のキホン」3000円相当PDFプレゼント
(実際にAmazonで売られている書籍のPDF版を無料プレゼント:中小企業向け大企業向け

下記は中小企業向けの目次になります。

  1. 1.はじめに

  2. 2.あなたの会社の情報が漏洩したら?

  3. 3.正しく恐れるべき脅威トップ5を事例付きで
    •  3-1.ランサムウェアによる被害
    •  3-2.標的型攻撃による機密情報の窃取
    •  3-3.テレワーク等のニューノーマルな働き方を狙った攻撃
    •  3-4.サプライチェーンの弱点を悪用した攻撃
    •  3-5.ビジネスメール詐欺による金銭被害
    •  3-6.内部不正による情報漏洩

  4. 4.情報漏洩事件・被害事例一覧

  5. 5.高度化するサイバー犯罪
    •  5-1.ランサムウェア✕標的型攻撃のあわせ技
    •  5-2.大人数で・じっくりと・大規模に攻める
    •  5-3.境界の曖昧化 内と外の概念が崩壊

  6. 6.中小企業がITセキュリティ対策としてできること
    •  6-1.経営層必読!まず行うべき組織的対策
    •  6-2.構想を具体化する技術的対策
    •  6-3.人的対策およびノウハウ・知的対策

  7. 7.サイバーセキュリティ知っ得用語集

無料でここまでわかります!
ぜひ下記より会員登録をして無料ダウンロードしてみてはいかがでしょうか?

無料会員登録はこちら

SNSでもご購読できます。