経済産業省から「サイバーセキュリティ経営ガイドライン」の改訂版が出てきました。
企業にとってITは必要不可欠というより酸素や水と同じなので、同時にサイバーセキュリティ対策も必須。もちろん個人レベルでもサイバーセキュリティ対策は必要。
セキュリティ対策はIT投資ととらえることが重要。セキュリティ対策をコストととらえるか、IT投資ととらえるかで違いがでます。IT投資よりも、保守やセキュリティ対策に重要視をしたほうが良いですよ！
サイバーセキュリティ経営ガイドラインを改訂しました（METI-経済産業省）
昨今サイバー攻撃は更に巧妙化しており、防御が難しく、サイバー攻撃を受けていること自体に企業が自ら気づかないケースも増えるなど、事前対策だけでは対処が困難となってきています。特に、日本を含むアジア諸国は世界の平均よりもサイバー攻撃の発見に時間を要する傾向にあります。一方、米欧では、こうした状況を踏まえて対処方針の見直しが進められ、事後対策を国内企業に求めるなど、検知・対応・復旧といった事後対策の取組にも重点が置かれるようになっています。
こうした状況を踏まえ、経済産業省は、IPAと協力し「サイバーセキュリティ経営ガイドライン改訂に関する研究会」を開催しました。そこでの検討を踏まえ、今般、事後対策の追加などを含めた、サイバーセキュリティ経営ガイドラインの改訂を行いました。
III．サイバーセキュリティ経営の重要１０項目
経営者は、サイバーセキュリティ対策を実施する上での責任者となる担当幹部（CISO 等）に対して以下の重要１０項目を指示すべきである。
指示１ ： サイバーセキュリティリスクの認識、組織全体での対応方針の策定
指示２ ： サイバーセキュリティリスク管理体制の構築
指示３ ： サイバーセキュリティ対策のための資源（予算、人材等）確保
指示４ ： サイバーセキュリティリスクの把握とリスク対応に関する計画の策定
指示５ ： サイバーセキュリティリスクに対応するための仕組みの構築
指示６ ： サイバーセキュリティ対策における PDCA サイクルの実施
指示７ ： インシデント発生時の緊急対応体制の整備
指示８ ： インシデントによる被害に備えた復旧体制の整備
指示９ ： ビジネスパートナーや委託先等を含めたサプライチェーン全体の対策及び状況把握
指示１０： 情報共有活動への参加を通じた攻撃情報の入手とその有効活用及び提供
