セキュリティ統制・法務・基準重要度:★★出題: AM2・PM1

情報セキュリティガバナンス (JIS Q 27014) とサイバーセキュリティ経営ガイドライン

じょうほうせきゅりてぃがばなんす / さいばーせきゅりてぃけいえいがいどらいん / Governance of Information Security (ISO/IEC 27014) & Cybersecurity Management Guidelines

経営陣が情報セキュリティを「単なるITコスト」ではなく「企業価値向上・事業継続のための経営投資」と位置づけ、リーダーシップをとって統治・監督する枠組み。

3行速習ポイント

経済産業省・IPA「サイバーセキュリティ経営ガイドライン」は、経営者が認識すべき3原則と、CISO等に指示すべき重要10項目を定義
JIS Q 27014（情報セキュリティガバナンス）における統治プロセス：評価（Evaluate）➔ 指示（Direct）➔ モニタ（Monitor）➔ コミュニケーション（Communicate）➔ 保証（Assure）
3ディフェンスライン（3線モデル）：第1線（事業部門・システム運用部門）、第2線（CISO・リスク管理・セキュリティ統括部門）、第3線（独立した内部監査部門）

図情報セキュリティガバナンス (JIS Q 27014) と 3ディフェンスライン体制

経営統治層

経営陣のリーダーシップ（評価・指示・モニタ・保証）

サイバーセキュリティ経営ガイドライン3原則とCISOへの権限委譲

セキュリティを単なるITコストではなく経営投資と位置づけ、サプライチェーン全体を含めたリスク統治と平時・緊急時のステークホルダー対話を主導

↕

第1線・第2線

第1線（事業・運用部門）＆第2線（CISO・リスク統括・CSIRT）

現場での自律的リスク管理（第1線）と全社規程・監視支援（第2線）

第1線の業務・開発部門が日々の対策を実行し、第2線のセキュリティ統括部門（CISO/CSIRT）が全社ポリシー策定・脆弱性管理・インシデント統括を推進

↕

第3線 (独立監査)

第3線（独立した内部監査・システム監査部門）

自己監査を排した独立・客観的立場からの有効性評価と経営報告

第1線・第2線から組織的に独立した監査人が、規程の準拠性と管理策の有効性を証拠に基づき検証し、経営陣へ直接保証レポートを提出

💡 内部監査（第3線）では「監査人の独立性・客観性」が絶対条件であり、監査対象部門の兼務者や直近まで当該業務を構築していた者に監査を担当させてはならない

セキュリティ事故は企業の存続やサプライチェーン全体に甚大な損害を与える経営リスクです。経営陣がセキュリティリスクを事業リスクと統合して評価し、CISO（最高情報セキュリティ責任者）に明確な権限と予算を与え、独立した内部監査によって有効性を保証するガバナンス体制が求められます。

経営者が認識すべき3原則：①経営者がリーダーシップをとること、②自社だけでなくビジネスパートナーや委託先も含めたサプライチェーン全体で対策すること、③平時及び緊急時の関係者との積極的なコミュニケーション
内部監査の独立性：監査対象部門に所属しているメンバや、直近までその部門で業務を構築していたメンバに当該部門の監査を担当させてはならない（自己監査の禁止・客観性の確保）
セキュリティ投資のROI/ROS（Return on Security Investment）：予想年間損失額（ALE ＝単一損失予想額 SLE × 年間発生頻度 ARO）の削減効果に基づく投資判断