前回までの3回で、ISMSの基本的な考え方と、それを支える規格・認証制度を確認した。
今回からは新たなシリーズとして、情報セキュリティを実際に担う「組織・体制」を取り上げる。第1回となる今回は、組織内の役割分担の全体像と、その中心的な役割を担う「CISO」について確認しよう。
なぜ組織・体制が重要なのか
これまでのシリーズで、情報セキュリティポリシーの策定や、人的・物理的・技術的な対策、ISMSの運用といったテーマを扱ってきたが、こうした取り組みは「誰が責任を持って進めるのか」という体制が整っていなければ、絵に描いた餅になってしまう。
情報セキュリティ対策は、情報システム部門だけが取り組む技術的な課題ではなく、経営層の関与のもとで組織全体として取り組むべき経営課題である、という位置づけが重要になる。
組織内の役割分担
情報セキュリティに関する組織体制は、企業によって細部は異なるものの、おおむね次のような階層で整理できる。
経営陣（経営層）
情報セキュリティに関する最終的な意思決定権と責任を持つ層である。情報セキュリティ基本方針の承認、必要な予算・人員の確保、重大インシデント発生時の対外的な説明責任など、組織のトップとしての判断が求められる。情報セキュリティを「現場任せ」にせず、経営課題として扱う姿勢がここで問われる。
情報セキュリティ委員会
経営陣と現場をつなぎ、組織横断的に情報セキュリティに関する方針や施策を検討・推進する会議体である。情報システム部門だけでなく、法務・人事・各事業部門など、複数の部署の代表者が参加することが多い。情報セキュリティポリシーの改定案の審議や、全社的な対策の優先順位づけなどを行う。
各部門の責任者・担当者
実際の業務の現場で、情報セキュリティポリシーに基づいた運用を行う層である。部門内での教育の実施、ルール遵守の徹底、インシデントの一次対応などを担う。
CISO（最高情報セキュリティ責任者）とは
CISO（Chief Information Security Officer：最高情報セキュリティ責任者）とは、組織における情報セキュリティ対策を統括する責任者である。情報セキュリティ戦略の策定、セキュリティポリシーの実施、リスク管理、インシデント対応の統括、従業員教育の推進など、情報セキュリティに関わる幅広い業務を統括する立場にある。
CISOの重要な役割の一つは、技術的な専門知識を持つ現場と、ビジネス判断を行う経営陣との橋渡しをすることである。情報システム部門が把握している技術的なリスクを、経営判断に落とし込める形で経営陣に伝え、逆に経営方針を現場の対策に反映させる、という双方向の調整が求められる。
CIOとの違い
CISOと混同されやすい役職に、CIO（Chief Information Officer：最高情報責任者）がある。CIOは、情報システム全体の企画・投資・活用など、ITを経営に活かすことを主な役割とするのに対し、CISOは情報セキュリティに特化して、リスク管理と対策の統括を担う。
かつてはCIOが情報セキュリティの責任も兼ねることが一般的であったが、サイバー攻撃の脅威が高まり、情報セキュリティが独立した経営課題として重視されるようになったことから、CIOとは別にCISOを設置する組織が増えている。
試験対策のポイント
- 情報セキュリティ対策は、情報システム部門だけの課題ではなく、経営陣を含めた組織全体で取り組むべき課題である、という位置づけを押さえておく
- 経営陣、情報セキュリティ委員会、各部門の責任者・担当者という役割分担の階層を理解しておく
- CISOの役割が「情報セキュリティに関する統括的な責任を持つこと」「経営陣と現場の橋渡しをすること」にある点を押さえておく
- CISOとCIOの違い（セキュリティに特化しているか、IT全般を扱うか）を区別できるようにしておく
まとめ
今回は、情報セキュリティ組織・体制シリーズの第1回として、組織内の役割分担の全体像と、CISOの役割・CIOとの違いを確認した。次回は、実際にセキュリティインシデントが発生した際に対応にあたる「CSIRT」について取り上げる。
コメント