グループ会社や海外拠点、委託先まで含めた全社的なセキュリティ統制の必要性が高まっています。脆弱な一拠点やサプライチェーンの一社が突破口になれば、被害はグループ全体に及ぶためです。経営から「全社でセキュリティガバナンスを効かせてほしい」と求められ、進め方を探し始めた企業は少なくありません。
本記事では、ソフトバンクやキリングループをはじめ、大企業から中堅・国内単体の企業まで、実際にセキュリティガバナンスへ取り組んだ事例を「課題・施策・成果」で整理します。そのうえで、事例から見える共通の進め方や、NIST CSF 2.0・ISO/IEC 27001・会社法の内部統制といったフレームワークの位置づけまで解説します。
他社が何に困り、どう動き、どうなったのかを押さえれば、自社の着手順を描く手がかりになります。事例と進め方、そしてそれを支えるツールの選択肢まで、社内で説明・検討できる粒度でまとめました。まず事例から確認したい方は、目次の「企業事例」へ進んでください。
目次
一括ダウンロードする
セキュリティガバナンスとは？
セキュリティガバナンスとは、企業経営の一環として、組織全体の情報セキュリティ対策の方針を定め、その実行状況を経営層が監督・是正する仕組みを指します。現場任せの個別対策ではなく、経営が責任を持ってグループ・全社の統制を効かせる点に特徴があります。
経済産業省は公的な定義で、この考え方を「情報セキュリティガバナンス」と呼んでいます。本記事で扱う「セキュリティガバナンス」も実務上ほぼ同じ意味で使われるため、以下では公的定義を土台に整理します。
情報セキュリティガバナンスは、コーポレートガバナンスの一環として確立され、その構造を踏襲するものと考えられる。ただし、情報セキュリティガバナンスの対象は、ITのみならず、組織が価値を認めるあらゆる情報資産が該当する。
出典：情報セキュリティガバナンス導入ガイダンス｜経済産業省
情報セキュリティ・ITガバナンスとの違い
混同されやすい言葉に「情報セキュリティ」と「ITガバナンス」があります。情報セキュリティは、機密性・完全性・可用性を守るための具体的な対策そのものを指す言葉です。これに対しセキュリティガバナンスは、その対策を全社で機能させるための統制の枠組みという上位の概念にあたります。
ITガバナンスは、IT投資やシステム運用を経営目標に沿って統制する取り組みで、対象はIT全般に及びます。セキュリティガバナンスはこのうちセキュリティに焦点を絞り、経産省の定義が示すとおり、対象をITに限らず組織が価値を認めるあらゆる情報資産へ広げて捉える点が特徴です。
なぜ今、全社的な統制が求められるのか
攻撃者は、対策の手薄なグループ会社や海外拠点、委託先を足がかりに本体へ侵入します。本社だけを固めても、統制の届かない周辺が残れば全体のリスクは下がりません。事業のグローバル化と業務委託の拡大に伴い、統制の対象を自社の外側まで広げる必要が高まっています。
こうした委託先やグループ会社まで含めて統制するという発想は、近年になって企業の間で広がってきました。サプライチェーンのセキュリティ評価を手がけるSecurityScorecard（SecurityScorecard株式会社）は、この数年の変化を現場でこう捉えています。
少し前までは、資本関係もない取引先を勝手に評価して「あなたはここに問題があってC評価です」と伝えるなんてけしからん、というお叱りを受けることもありました。それが今では、サプライチェーンリスク管理という考え方がだいぶ市民権を得てきたと感じています。
背景としては、各省庁が警鐘を鳴らしていることもありますし、IPAが発表している情報セキュリティ10大脅威の中でも、サプライチェーンの弱点を悪用した攻撃が長年にわたって上位にランクインしています。直近では、経済産業省が主導しているサプライチェーン対策の評価制度（SCS評価制度）への関心も高まっていて、それにキャッチアップするためにサプライチェーンをどう評価すればいいのか、という観点でお問い合わせをいただくことも増えてきています。
これは外部から市場を見る立場からの実感です。本記事の後半で紹介するのは自社で導入して使うツールですが、その前提として、外部評価という視点が広がってきた点を押さえておくと選択肢を捉えやすくなります。
セキュリティガバナンスの企業事例
ここからは、実際にセキュリティガバナンスへ取り組んだ企業の事例を、課題・施策・成果に分けて紹介します。
ソフトバンク：海外11か国25拠点の統制を立て直す
ソフトバンク株式会社は、世界主要11か国25拠点で海外事業を展開しています。海外拠点に対するサイバー攻撃が増加し、拠点ごとにばらついていたセキュリティ水準の底上げが急務となっていました。これが同社の抱えた課題です。
施策として、Microsoft 365 E5 を軸に、ID管理の Microsoft Entra ID、端末管理の Microsoft Intune、情報保護の Microsoft Purview などを海外拠点へ統一的に導入しました。あわせてステアリングコミッティ（運営委員会）を立ち上げ、他部門を巻き込む推進体制を整えています。
結果として、11か国25拠点すべてに統一的な基盤を展開しました。端末の初期設定を自動化して電源を入れるだけで使える状態にし、PC・モバイルの管理台帳も自動で抽出できるようにするなど、拠点ごとに分散していた運用の負荷を軽減しています。
あわせて、利用者自身がリスクを確認しながら安全な行動を選ぶ文化が根付いてきたとされます。公表資料では削減率などの数値は示されていませんが、ツールの統一と体制づくりを同時に進めた点が、この事例の要になっています。
出典・参考資料（1件）
キリングループ：15社を対象に3本柱で対策を強化
キリングループでも、セキュリティが脆弱なグループ会社やサプライチェーンが狙われるという課題がありました。国内外に広がるグループ全体で、どこか一社の弱点が全体のリスクにつながる構図です。
そこで海外グループ15社を対象にアセスメント（現状評価）を実施し、その結果をもとにポリシー・ルール／技術／リテラシー（意識向上）の3本柱で対策を強化しました。さらに、評価結果を踏まえて3年間のロードマップを策定し、段階的に取り組みを進めています。
結果として、海外グループ15社の現状を可視化し、3年間のロードマップに沿って段階的に対策を進める体制を整えました。現状を評価で把握してから優先順位を付け、複数年の計画へ落とし込む流れは、グループ横断で対策を進める枠組みとして参考になります。
ソフトバンクの事例が「ツールと体制」を軸にしていたのに対し、こちらは「評価と計画」を軸に据えた進め方といえます。
出典・参考資料（1件）
楽天グループ：共通の軸を保ちつつ各社に委ねる
楽天グループは、インターネットからフィンテック、通信まで70以上のサービスを国内外で展開しています。業態も規模も異なる多数のグループ会社が並ぶなかで、本社が一律にルールを縛るだけでは各社の業界要請に合わず、セキュリティ水準をどう揃えるかが課題でした。
施策として、2015年にグループのCISO（最高情報セキュリティ責任者）を任命し、翌2016年には各社にCISOを置いて「楽天グループCISOコミュニティ」を立ち上げました。ベースとなる共通ポリシーを策定したうえで、各社が所属する業界団体の要請に合わせてカスタマイズして運用しています。
現在は数十の組織にCISOを設置し、各社CISOの定例会議や年次のグローバルCISOサミットを通じて横断的に統制しています。共通の軸でベースラインの水準を確保しつつ各社に運用を委ねる進め方は、集約と分散のバランスを取った統制の具体例といえます。
出典・参考資料（1件）
DIGGLE：中堅・国内単体でISMS運用を仕組み化する
ここまでは海外グループを持つ大企業の事例でしたが、中堅・国内単体の企業にも参考になる例があります。経営管理クラウドを手がけるDIGGLE株式会社は、情報セキュリティマネジメントシステム（ISMS）認証の取得後、関連文書が複数のフォルダに散在し、フォーマットも作成者ごとにばらついていました。
マニュアル類や情報資産管理台帳を含めると15種類以上のファイルがExcelやWordで分散し、最新版を探す作業や版管理に手間がかかっていたのが課題です。教育も別システムに分かれ、運用が属人化しやすい状態でした。
そこで規程・リスクアセスメント・教育をISMS運用ツールに集約し、文書管理を一元化しました。結果として、ISMS運用に関わる工数を従来比3〜4割削減し、それまで外部に頼っていた内部監査の内製化も実現しています（SecureNavi株式会社公表事例）。
中堅・国内単体の企業はどう読み解くか
公表事例の多くは海外グループを持つ大企業のものですが、規模が違うからと読み飛ばすと、応用できる部分まで取りこぼします。大切なのは、大企業の打ち手を自社の規模に翻訳して読むことです。
ソフトバンクの「対象範囲の洗い出しと体制づくり」やキリングループの「アセスメントとロードマップ」は、拠点数や対象社数が少なくても同じ順序でたどれます。DIGGLEのように単体の企業がISMS運用を仕組み化する形も、現実的な出発点になります。
規模に応じた具体的な着手順は、後半の「自社で始める最初の一歩」で解説します。事例を自分の状況に引き寄せる視点で読み進めてください。
事例の比較（課題・施策・成果の俯瞰）
紹介した4社の取り組みを、業種・規模・課題・施策・成果で並べて整理します。
| 企業 | ソフトバンク株式会社 | キリングループ | 楽天グループ | DIGGLE株式会社 |
|---|---|---|---|---|
| 業種・規模 | 通信／海外11か国25拠点 | 食品・飲料／海外グループ15社 | インターネット・フィンテック等／グループ数十組織 | 経営管理クラウド／国内単体（中堅） |
| 主な課題 | 海外拠点への攻撃増加、拠点ごとにばらつく統制水準 | 脆弱なグループ会社・サプライチェーンが狙われるリスク | 業態も規模も異なる多数のグループ会社でセキュリティ水準をどう揃えるか | ISMS認証取得後、関連文書が散在し版管理・運用に手間 |
| 主な施策 | Microsoft 365 E5・Entra ID・Intune・Purview を統一導入し、ステアリングコミッティで他部門を巻き込む体制を整備 | 海外15社をアセスメントし、ポリシー・ルール／技術／リテラシーの3本柱と3年間のロードマップを策定 | グループCISOと各社CISO・CISOコミュニティを設置し、共通ポリシーを各社の業界要請に合わせてカスタマイズ運用 | 規程・リスクアセスメント・教育をISMS運用ツールに集約し、文書管理を一元化 |
| 成果 | 11か国25拠点に統一基盤を展開。端末設定・管理台帳の自動化で運用負荷を軽減し、利用者がリスクを確認して行動する文化が浸透 | 海外グループ15社を可視化し、3年間のロードマップに沿って段階的に対策を進める体制を確立 | 共通の軸でベースライン水準を確保しつつ各社に運用を委ねる集約と分散の体制を確立 | ISMS運用の工数を従来比3〜4割削減し、内部監査の内製化を実現 |
出典・参考資料（4件）
一括ダウンロードする
事例から見えるセキュリティガバナンスの進め方
ここからは、複数の事例に共通する進め方を5つの観点で整理します。抽象論に流れないよう、先に挙げた事例に結び付けながら見ていきます。
集約と分散のバランスを取る
全社共通のポリシーで統一すべき部分と、拠点・グループ会社の実情に委ねる部分を切り分けます。すべてを本社が一律に縛ると現地の業務が回らず、逆に任せきりだと統制が効きません。
ソフトバンクは共通基盤を導入しつつ拠点ごとのデータ保管地域を選べるようにしており、これが集約と分散のバランスの具体例です。楽天グループが共通ポリシーを各社でカスタマイズして運用しているのも、同じ考え方にあたります。
メリハリのある可視化とモニタリングを行う
まず対象範囲の現状を把握しなければ、どこが弱いのかも分かりません。キリングループが海外15社のアセスメントから着手したように、拠点や委託先の状態を評価して見える化する工程が起点になります。すべてを同じ深さで見るのではなく、重要度の高い対象に監視の力点を置く発想が続けやすさにつながります。
絵に描いた餅にしないロードマップを描く
評価で見えた課題は、優先順位を付けて複数年の計画へ落とし込みます。キリングループはアセスメント結果を受けて3年間のロードマップを策定しました。一度に完璧を目指さず、実行できる単位に区切って段階的に進めることが、計画倒れを避ける鍵になります。
推進体制とCSIRTを整える
方針を実行に移すには、部門をまたいで動かす推進体制が要ります。ソフトバンクはステアリングコミッティを設けて他部門を巻き込みました。あわせて、インシデント発生時に対応する専門チーム（CSIRT／シーサート）を用意しておくと、平時の統制と有事の対応が地続きになります。
従業員のリテラシーを底上げする
ルールと技術だけでは、現場の一人ひとりの行動までは変わりません。キリングループが3本柱の一つに「リテラシー（意識向上）」を据えたように、教育や訓練を通じて従業員の意識を引き上げる取り組みが対策の土台を支えます。ソフトバンクの事例でも、海外拠点従業員のセキュリティ意識の向上が成果として挙げられています。
自社で始める最初の一歩とフレームワーク
ここからは、事例と共通パターンを踏まえて、自社が着手するときの最初の一歩と、拠り所となるフレームワークを整理します。
まず何から着手するか
最初の一歩は、守るべき対象の棚卸しです。どの拠点・グループ会社・委託先が、どんな情報資産を扱っているかの洗い出しと、現状のセキュリティ水準の評価が出発点になります。ここが定まらないと、方針も投資判断も足場を失います。
棚卸しと評価ができたら、全社共通のポリシーを整え、それを実行・監督する体制を置くことが求められます。そのうえで運用状況を継続的にモニタリングし、改善を回す——事例に共通するこの順序が、自社でも進め方の骨格になります。
中堅・国内単体でも回せる出発点
専任のセキュリティ担当を置けない規模でも、着手の順序は大企業と変わりません。対象が数拠点・数社であれば、まずは最も重要な情報資産と、外部とつながる接点の多い部門から評価を始めると、限られた人手でも前に進めます。
限られた予算や人手でも導入・運用できるツールから検討したい場合は、中小企業が現実的に選べるガバナンス・リスク・コンプライアンス（GRC）ツールを、費用相場やIT導入補助金の活用まで含めて比較した以下の記事も参考になります。
体制も、最初から専門組織を構える必要はありません。既存の情報システム部門や管理部門が旗振り役を兼ね、経営が定期的に状況を確認する形から始められます。次に述べるフレームワークを、自社の規模に合わせて必要な部分だけ取り入れるのが現実的です。
主要フレームワークの位置づけ
進め方の拠り所として、代表的なフレームワークと制度の位置づけを押さえておきます。それぞれ発行主体・目的が異なるため、自社の目的に合わせて使い分けます。
NIST CSF 2.0（GOVERN機能）
NISTサイバーセキュリティフレームワーク（NIST CSF）は、米国国立標準技術研究所（NIST）が公表するサイバーセキュリティ対策の枠組みです。2024年2月26日に公開された最新版2.0では、6つのコア機能の最上位に「GOVERN（統治）」が新設され、ガバナンスが対策全体を方向づける位置に据えられました。
GOVERN (GV) — The organization’s cybersecurity risk management strategy, expectations, and policy are established, communicated, and monitored. The GOVERN Function provides outcomes to inform what an organization may do to achieve and prioritize the outcomes of the other five Functions in the context of its mission and stakeholder expectations.
（筆者訳）GOVERN（GV）——組織のサイバーセキュリティリスク管理の戦略・期待・方針を確立し、周知し、監視する。GOVERN機能は、組織の使命とステークホルダーの期待を踏まえて、他の5つの機能の成果を達成し優先順位付けするために組織が何をなし得るかを示す成果を提供する。
出典：The NIST Cybersecurity Framework (CSF) 2.0（NIST CSWP 29）｜NIST
海外発の枠組みですが、日本企業でもガバナンスを軸に対策を体系立てる際の共通言語として使えます。GOVERNが示す「戦略・方針を定め、周知し、監視する」という流れは、事例に共通する進め方とも重なります。
ISO/IEC 27001
ISO/IEC 27001は、情報セキュリティマネジメントシステム（ISMS）の要求事項を定めた国際規格です。国際標準化機構（ISO）と国際電気標準会議（IEC）が策定し、現行版はISO/IEC 27001:2022、国内対応規格はJIS Q 27001にあたります。組織がISMSを確立・運用・維持し、継続的に改善するための要求事項を体系立てて示しています。
認証の取得自体が目的化しないよう注意しつつ、方針・運用・評価・改善を回す土台として位置づけると、ガバナンスの継続的な仕組みづくりに役立ちます。認証の有無にかかわらず、このPDCAを回す考え方は、事例に共通する「一度きりで終わらせない継続的な統制」の土台になります。
出典・参考資料（1件）
会社法の内部統制
国内の法制度では、会社法が定める内部統制システムの整備義務が、セキュリティガバナンスを位置づける根拠になります。会社法第362条第4項第6号は、取締役会が決定すべき事項として、企業集団（子会社を含む）の業務の適正を確保する体制の整備を挙げています。
六 取締役の職務の執行が法令及び定款に適合することを確保するための体制その他株式会社の業務並びに当該株式会社及びその子会社から成る企業集団の業務の適正を確保するために必要なものとして法務省令で定める体制の整備
出典：会社法 第362条第4項第6号｜e-Gov法令検索
この条文は情報セキュリティに限った規定ではなく、内部統制体制一般を対象としています。ただし「子会社から成る企業集団の業務の適正確保」を明記しているため、グループ全体のセキュリティ統制を内部統制の一環として整理する根拠として使えます。大会社である取締役会設置会社では、この体制の決定が同条第5項で義務づけられています。
一方、上場企業が対象となる金融商品取引法の内部統制報告制度（J-SOX）は、財務報告の信頼性を確保するための制度で、セキュリティガバナンスそのものを直接義務づけるものではありません。IT統制の評価を通じて間接的に関わる範囲にとどまるため、セキュリティガバナンスの法的根拠を考えるうえでは、会社法の内部統制を主に据えるのが実態に合います。
出典・参考資料（1件）
セキュリティガバナンスでつまずきやすいポイントと回避策
取り組みが止まる型には、いくつか典型があります。進め方の裏返しではなく、実際に起きやすい失敗の場面として押さえておくと、先回りで避けやすくなります。
一つは、アセスメントで課題を洗い出しロードマップまで作ったのに、実行段階で止まってしまうケースです。担当や期限が曖昧なままだと、翌年も同じ指摘が並びます。施策ごとに担当と期限を割り当て、進捗を経営が定期的に確認する仕組みが回避策になります。
もう一つは、本社が定めたポリシーが、グループ会社の温度差で形骸化するケースです。現地の業務実態や人員規模に合わないルールは運用されません。全社で揃える最低ラインと各社に委ねる範囲を分け、導入時に各社の事情を聞き取っておくことが欠かせません。
可視化ツールの導入そのものが目的になってしまうケースもあります。ダッシュボードを整えたことで満足し、評価スコアが具体的な改善につながらないパターンです。評価結果を対策の優先順位に接続し、誰がいつ何を直すかまで決めて初めて、統制は機能します。
セキュリティガバナンスの推進を支えるツールの選択肢
ここまでの進め方は、手作業だけで回そうとすると担当者への負荷が大きくなります。棚卸し・評価・モニタリングといった工程を効率化する選択肢として、いくつかのツールの領域を押さえておくと検討が進めやすくなります。
ツールの領域は大きく4つに整理できます。リスクや対策状況を全社で一元管理・可視化するガバナンス管理、自社のセキュリティ水準を評価・スコア化する領域、委託先やグループ会社を調査・点検する委託先リスク管理（TPRM）、規程やISMS運用を管理する領域です。事例で登場した対策も、この地図に当てはめて捉えると、自社に足りない部分が見えてきます。
特定の製品に縛られる必要はありません。自社の課題が「グループ全体の可視化」なのか「委託先の点検」なのかによって、適したツールの領域は変わります。ここでは、進め方を支える代表的なサービスを紹介します。
セキュリティガバナンス支援サービスの比較
以下は、ここで紹介するサービスの比較表です。評価対象や方式が異なるため、自社の課題に照らして見比べてください。
| サービス名 | VendorTrustLink | SecureNavi | Secure SketCH | Conoris BP |
|---|---|---|---|---|
| 主な用途 | 委託先・取引先のセキュリティ調査を効率化（TPRM） | ISMS／Pマークの取得・運用管理とグループ統制の基盤 | セキュリティ対策状況の評価・可視化とベンチマーク比較 | 委託先・再委託先の調査と年次定期点検（TPRM） |
| 評価・点検の対象 | 委託先・取引先 | 自社・グループ会社（規程・ISMS運用が中心） | 自社・グループ会社・委託先（3層に対応） | 委託先・再委託先 |
| 評価の方式 | チェックシート（アンケート）配信・回収・自動採点 | 31ステップのガイドで規程・リスクアセスメントを整備 | Web設問（自己評価）＋外部スキャン（自動診断）のハイブリッド | チェックシート（Webフォーム）＋AIレビューアシスト分析 |
| 提供形態 | クラウド（SaaS） | クラウド（SaaS） | クラウド（SaaS） | クラウド（SaaS） |
| 無料トライアル | あり | 要問い合わせ | あり（SINGLE BASIC・2週間） | あり |
| 料金 | 要問い合わせ | 要問い合わせ | 要問い合わせ | 要問い合わせ |
| 詳細情報 | 公式資料を見る | オンライン相談を予約 | サービス詳細を見る | サービス詳細を見る |
※ 料金は各社とも個別見積り（要問い合わせ）です。上表は各社の公表情報にもとづく整理であり、最新の提供内容・プラン構成は各サービスの公式情報や資料でご確認ください。
推進を支える主なサービス
1. VendorTrustLink（株式会社アトミテック）
委託先・取引先へのセキュリティチェックシート審査を、Excel・メールの往復からクラウド上に載せ替えるサービスです。先に挙げた4つの領域のうち委託先リスク管理（TPRM）にあたります。株式会社アトミテックが提供し、国際的なリスクマネジメントガイドラインISO 31000に沿った設計を掲げています。
設問の配信・回収・自動採点・経年比較までを一連の流れで自動化し、委託先は専用アカウントでプラットフォーム上から回答します。サプライチェーンの点検を属人化させず、統制の仕組みとして回したい場面に向く選択肢です。
2. SecureNavi（SecureNavi株式会社）
領域でいえば、規程・ISMS運用の管理を軸に、グループ全体のガバナンス管理にもつながるサービスです。ISMS認証（ISO/IEC 27001）やPマークの取得・運用を一元管理するクラウドツールを基盤に、規程類やリスクアセスメントの整備をSaaS上に集約します。分散しがちなセキュリティ文書の管理を、ガバナンスの土台として仕組み化できる点が特徴です。
グループ企業・大規模組織向けには、統合管理プラットフォーム「SecureNavi Control」を提供しています。子会社や事業部が独立した運用を保ちつつ、統括事務局が全社横断でリスクを可視化・統制できる設計で、集約と分散のバランスを取りたいグループ統制の場面に応えます。
3. Secure SketCH（NRIセキュアテクノロジーズ株式会社）
NRIセキュアテクノロジーズが提供する、評価・スコア化と可視化を担う領域のサービスです。Web設問への回答で自社の対策状況を得点・偏差値として定量化し、同業種・同規模の企業とベンチマーク比較できます。2026年9月時点で累計利用企業は8,000社を超えています。
NIST、CIS Controls、ISO/IEC 27001/27002など複数のガイドラインに対応し、自社評価（SINGLE）・グループ会社評価（GROUPS）・委託先評価（3rd PARTY）を1つのプラットフォームで扱える点が強みです。アンケート回答に外部スキャンによる自動診断を組み合わせ、自己申告だけに頼らない評価ができます。
4. Conoris BP（株式会社Conoris Technologies）
こちらも委託先リスク管理（TPRM）の領域に属し、委託先・再委託先のセキュリティ調査と年次定期点検に的を絞ったツールがConoris BPです。プロジェクト別・会社別にツリー状の階層構造で委託先を管理でき、再委託先までさかのぼって可視化できます。
特徴は、回収した調査票をAIレビューアシスト機能が自動分析し、リスクのある項目を抽出して審査担当者の判断を支える点です。導入企業では、1件あたり平均3時間かかっていた審査対応が平均1時間、最短20分に短縮できるとされます（株式会社Conoris Technologies公表、2025年3月時点）。委託先の点検業務を継続的に回したい組織に向いています。
ここで取り上げたのは、進め方を支えるサービスの一部です。ガバナンス・リスク・コンプライアンスを一元管理するGRCツール全般を、タイプ別の比較表や選び方から検討したい場合は、主要26製品を整理した以下の記事もご覧ください。
まとめ
セキュリティガバナンスは、経営がグループ・全社の情報セキュリティ対策を統制する仕組みです。ソフトバンクは「ツールと体制」、キリングループは「評価と計画」を軸に取り組み、いずれも対象範囲の把握から体制づくり、継続的な改善へと進めていました。
自社で始めるときも、守るべき対象の棚卸しと評価が最初の一歩になります。NIST CSF 2.0のGOVERN機能やISO/IEC 27001、会社法の内部統制を拠り所にしつつ、規模に応じて必要な部分から着手すれば、中堅企業や国内単体の企業でも進め方をたどれます。可視化・委託先点検・グループ統制といった工程は、目的に合ったツールで効率化する選択肢があります。
一括ダウンロードする
よくある質問（FAQ）
Q. セキュリティガバナンスとは何ですか？
A. セキュリティガバナンスとは、企業経営の一環として組織全体の情報セキュリティ対策の方針を定め、その実行状況を経営層が監督・是正する仕組みです。現場任せの個別対策とは異なり、経営が責任を持ってグループ・全社の統制を効かせる点に特徴があります。経済産業省は同じ考え方を「情報セキュリティガバナンス」と呼び、コーポレートガバナンスの一環と位置づけています。
Q. セキュリティガバナンスと情報セキュリティ・ITガバナンスの違いは何ですか？
A. セキュリティガバナンスは、情報セキュリティ対策を全社で機能させるための統制の枠組みという上位の概念にあたります。情報セキュリティが機密性・完全性・可用性を守る具体的な対策そのものを指すのに対し、セキュリティガバナンスはその対策を経営が監督する仕組みを指します。
またITガバナンスがIT投資やシステム運用の全般を経営目標に沿って統制するのに対し、セキュリティガバナンスはセキュリティに焦点を絞り、対象をITに限らず組織が価値を認めるあらゆる情報資産へ広げて捉える点が違いです。
Q. セキュリティガバナンスは中堅企業や国内単体の企業にも必要ですか？
A. セキュリティガバナンスは企業規模を問わず必要で、着手の順序も大企業と変わりません。公表事例は海外グループを持つ大企業が中心ですが、対象が数拠点・数社であっても、最も重要な情報資産と、外部とつながる接点の多い部門から評価を始めれば、限られた人手でも前に進められます。
専任のセキュリティ担当を置けない規模では、既存の情報システム部門や管理部門が旗振り役を兼ね、経営が定期的に状況を確認する形から始めるのが現実的です。
Q. セキュリティガバナンスはまず何から着手すればよいですか？
A. セキュリティガバナンスの最初の一歩は、守るべき対象の棚卸しと現状評価です。どの拠点・グループ会社・委託先が、どんな情報資産を扱っているかの洗い出しと、現状のセキュリティ水準の評価が出発点になります。
ここが定まらないと、方針も投資判断も足場を失います。棚卸しと評価ができたら、全社共通のポリシーを整え、それを実行・監督する体制を置き、運用状況を継続的にモニタリングして改善を回す——事例に共通するこの順序が、自社でも進め方の骨格になります。
Q. セキュリティガバナンスの推進体制にCSIRTは必要ですか？
A. CSIRTは、平時の統制と有事の対応を地続きにするうえで有効な体制です。CSIRT（シーサート）はインシデント発生時に対応する専門チームで、部門をまたいで方針を実行に移す推進体制とあわせて用意しておくと、統制の枠組みが実際のインシデント対応まで機能します。ただし最初から専門組織を構える必要はなく、規模に応じて既存部門が役割を兼ねる形から始め、段階的に体制を整えるのが現実的です。
Q. セキュリティガバナンスは法律で義務づけられていますか？
A. セキュリティガバナンスは、会社法が定める内部統制システムの整備義務が国内の主な法的根拠になります。会社法第362条第4項第6号は、取締役会が決定すべき事項として、子会社を含む企業集団の業務の適正を確保する体制の整備を挙げており、大会社である取締役会設置会社では同条第5項でこの決定が義務づけられています。
情報セキュリティに限った規定ではありませんが、グループ全体のセキュリティ統制を内部統制の一環として整理する根拠になります。上場企業が対象の金融商品取引法の内部統制報告制度（J-SOX）は財務報告の信頼性を確保する制度であり、セキュリティガバナンスそのものを直接義務づけるものではない点は区別が必要です。
出典・参考資料（1件）
Q. NIST CSF 2.0のGOVERN機能とは何ですか？
A. GOVERN（統治）とは、NISTサイバーセキュリティフレームワーク2.0で最上位に新設された、組織のサイバーセキュリティリスク管理の戦略・方針を確立し、周知し、監視するコア機能です。
2024年2月26日に公開された2.0では、6つのコア機能の最上位にGOVERNが置かれ、ガバナンスが対策全体を方向づける位置に据えられました。海外発の枠組みですが、日本企業でもガバナンスを軸に対策を体系立てる際の共通言語として使え、事例に共通する「戦略・方針を定め、周知し、監視する」進め方とも重なります。
Q. セキュリティガバナンスの推進にはどんなツールが役立ちますか？
A. セキュリティガバナンスを支えるツールは、大きく4つの領域に分かれます。リスクや対策状況を全社で一元管理・可視化するガバナンス管理、自社の水準を評価・スコア化する領域、委託先やグループ会社を調査・点検する委託先リスク管理（TPRM）、規程やISMS運用を管理する領域です。
自社の課題が「グループ全体の可視化」なのか「委託先の点検」なのかによって適したツールは変わるため、特定の製品に縛られず、棚卸し・評価・モニタリングのどの工程を効率化したいかで選ぶのが現実的です。
セキュリティガバナンス支援サービスの料金・資料を一括チェック
MCB FinTechカタログでは、セキュリティガバナンスの推進を支えるサービスの最新資料を無料で一括請求できます。評価対象や評価方式、対応範囲など、比較に必要な情報をまとめて確認できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
