「サイバーセキュリティ経営ガイドライン」が企業に要求するもの（第1回） ～ 何ものなのか？ どんな影響があるの？ ～

●「どんな影響があるの？」　～ 企業にとって指針が意味するもの

このガイドラインは、冒頭に説明したとおり法的拘束力のない文書です。ですから企業としてこのガイドラインを、あくまで参考になる読み物にすぎないものと捉えがちです。
しかし一方で「実質的にこのガイドラインが、守るべき最低ラインになる」とする報道もあります（※１）。
本来、このガイドラインはどのような姿勢で読むべきなのでしょうか。

（※１）日経コンピュータ2016年1月21日号「経産省、初の経営者向けセキュリティ指針」

ご存じのとおり2014年11月に「サイバーセキュリティ基本法」が成立したことで、サイバーセキュリティを“国政における重要なウェイトを占める分野”として推進する基本方針が国内外に示されました。
この基本法の定めに従って、国の具体的な施策計画をまとめたものが「サイバーセキュリティ戦略」（2015年9月閣議決定）です。
このなかで、経済社会の活力向上と持続的発展を実現するための施策として「セキュリティマインドを持った企業経営の推進」を行うこととされています。

今回公表された「サイバーセキュリティ経営ガイドライン」は、この施策において策定されたものです。つまりこのガイドラインは、サイバーセキュリティ基本法が示す方針の下、国が経済社会にの発展のため企業に求める事柄を経営者に明示したものなのです。
逆に言えば、「サイバーセキュリティ経営ガイドライン」の求める水準に達しない企業は、今後、わが国の経済社会において十分な責任を果たしていない企業とみなされるということでもあります。

たとえば、ある会社が不幸にしてサイバー攻撃の被害に遭い、個人情報漏えいを主務官庁に報告したとします。このとき、この会社の経営が「サイバーセキュリティ経営ガイドライン」を十分に遵守していたとしたら、国の基準を満たしていたにも関わらず発生した不幸な事故とみなされるでしょう。
一方、もしこの会社の経営が「サイバーセキュリティ経営ガイドライン」に注意を払わずセキュリティ対策を怠っていたとしたら、企業としての責任を果たさず顧客や取引先に被害を及ぼした事件として、最悪の場合には個人情報保護法にもとづく行政処分などの可能性も考えられます。
また、個人情報漏えいの被害者による損害賠償請求などに対しても、裁判所が適切な賠償額を決める際、「サイバーセキュリティ経営ガイドライン」に照らして企業が十分な責任を果たした上での事故だったのかどうかが、判断に大きく影響すると思われます。

企業としての責任、という言い方をすると、「サイバーセキュリティ経営ガイドライン」に対してネガティブな印象を持たれてしまうかもしれません。
しかし見方を変えると、「最低限、ここまでやれば責任を果たしていると胸を張ってよい」というお墨付きを与えてくれたということでもあります。
今後、企業は「サイバーセキュリティ経営ガイドライン」に十分な配慮をもって経営を行うことで、社会的に「サイバーセキュリティのリスクに十分な対処をしている企業」と見なして貰えることになります。

一例を挙げると、東京海上日動火災保険株式会社は2016年1月1日より、企業向けの「サイバーリスク保険」について「リスク評価割引」制度を設けました。
企業のサイバーセキュリティへの対応状況により保険料を割り引くというものですが、その評価は「サイバーセキュリティ経営ガイドライン」に沿った項目のヒアリングシートで行われるため、ガイドラインを満たしていれば保険料の割引を受けやすくなっています。
このほかにも今後、国・地方公共団体や国内の大企業の多くが、仕入れ先・業務委託先などの選定時のリスク評価として「サイバーセキュリティ経営ガイドライン」への準拠状況を参考にするのは間違いないでしょう。

つまり一口に言ってしまえば、「サイバーセキュリティ経営ガイドライン」は法的拘束力や罰則のある“ルール”ではありませんが、「この企業は安全に対して十分配慮しているか」「企業としての責任を果たしているか」という“物差し”（評価基準）となるものです。
企業としては今後、経営におけるリスク管理の一部として、自社がこの物差しに照らして十分なレベルを満たしているかどうか、自ら評価し律していくことが要求されているのです。

今回は、「サイバーセキュリティ経営ガイドライン」とは何なのか、企業にどのような影響があるのかを解説しました。
次回はこのガイドラインに沿った対応を行うにあたって、何をどこまでやればいいのか？といったよくあるご質問にお答えしていきます。