この記事で分かること
- 経営者が指示することになっている項目に、何が入っているか
- 委託先について、契約に何を書くことになっているか
- 条件を変えられない約款を受けるとき、先に何を確かめるか
開発や運用を、委託先に任せているとします。その委託先がどんなセキュリティ対策をしているかは、聞いていないかもしれません。
経営者が認識するのは3原則、指示するのは10項目
サイバーセキュリティ経営ガイドラインは、経済産業省とIPAが出しているものです。平成27年にVer1.0、平成29年にVer2.0、そして2023年3月にVer3.0が公表されました（策定にあたって）。
構成は二つに分かれます。経営者が認識すべき「3原則」と、対策の責任者となる担当幹部に指示すべき「重要10項目」。責任者はCISO等と書かれています（概要III）。
Ver3.0で見直した理由も挙がっています。ランサムウェアによる被害で、サイバーセキュリティに関する被害が情報漏えいにとどまらず事業活動の停止へと影響が拡大したこと。国内外のサプライチェーンを介した被害の拡大を踏まえ、全体を通じた対策の推進の必要性が高まったこと（策定にあたって）。
この10項目は、原典で五つに分類されています（概要III）。
五つのうち一つが、まるごと委託先の話です。
担当者への丸投げは、許されないと書かれている
原典は、経営者の責任をはっきり書いています。「経営者は、組織の意思決定機関が決定したサイバーセキュリティ体制が当該組織の規模業務内容に鑑みて適切でなかったため、組織が保有する情報の漏えいなどにより会社や第三者に損害が生じた場合、善管注意義務違反や任務懈怠に基づく損害賠償責任を問われ得る」（概要I）。
そのうえで、こう続きます。「被害が深刻な場合の事業停止や新たな脅威に対処するための予算措置等の経営判断も要求され、担当者への丸投げは許されるものではない」（概要I）。
「指示」の意味も定義されています。国際規格のITガバナンスでいう指示と同義で、担当者に丸投げしてしまうことではなく、実践の結果を確認する責任を負う、と脚注にあります（概要III）。
求められている経営判断も二つ挙げられています。被害が深刻な場合に事業の全体または一部を中断するかどうか。もう一つは、変化の速いリスクに対して、突発的で避けられない対策の見直しと予算措置が要るときの判断です。
原典は、損害額の試算例も引いています。日本ネットワークセキュリティ協会の『インシデント損害額調査レポート2021』からの引用です。大規模なマルウェア感染で3億7,600万円、ECサイトからのクレジットカード情報等の漏えいで9,490万円、軽微なマルウェア感染でも600万円（1.1(1)）。
大規模なマルウェア感染の内訳は、事故原因・被害範囲の調査費用が1億円、従業員端末やサーバー等の入れ替え費用が1.42億円、再発防止費用が5,000万円、休止中に得られたはずの売上にあたる利益損害が8,400万円です（1.1(1)）。
9番目が、委託先とサプライチェーン
指示9は「ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握及び対策」です。中身は二つに分かれます（指示9）。
一つは、国内外の拠点、ビジネスパートナーやシステム管理の運用委託先等を含めた対策状況の把握を行わせること。もう一つは、契約において、サイバーセキュリティリスクへの対応に関して担うべき役割と責任範囲を明確化すること。
ここでいうサプライチェーンは、部品の調達に限りません。クラウドサービスなど外部のデジタルサービスの利用や、APIを介したシステム同士の連携も含む、と脚注にあります。
対策を怠った場合として、原典はこう書いています。「これらの企業を踏み台にして自社が攻撃されることもある。その結果、他社の2次被害を誘発し、加害者となるおそれもある」（指示9）。
3原則の二つ目も同じところを見ています。「自社の対策不十分が原因である場合、自社がサプライチェーンの他企業にとっての加害者の立場になる」（3原則(2)）。
インシデントへの備えでも、同じところを見ています。指示7は、制御系を含むサプライチェーン全体のインシデントに対応可能な体制を整備させること、としています。社外からの波及と社外への波及の両方を意識する必要がある、と対策例に書かれています（指示7）。
約款を受けるときも、残留リスクを確かめる
指示9の対策例に、実務でよく起きる場面が書かれています（指示9）。
「相手先の定める約款で規定されているサイバーセキュリティ対策の変更ができない場合に、その約款を適用した場合の自社における残留リスクが許容範囲以下となることを確認した上で調達又は契約する」（指示9）。
クラウドサービスを使うときに、条件を変えられないことがあります。変えられないなら、そのまま受け入れてよいかを先に確かめる、という形です。
委託先の選び方についても書かれています。コストや体制、技術力だけでなく、自然災害やパンデミックといった環境リスク、テロや政情不安といった地政学リスク、経済危機や原料の価格変動といった経済リスクの影響を考慮する。
確認の手段も挙げられています。系列企業やビジネスパートナー、システム管理の委託先等が「SECURITY ACTION」を実施していることを確認する。中小企業が自らセキュリティ対策に取り組むことを宣言する、IPAの制度です（指示9）。
情報セキュリティマネジメントシステムの認証であるISMSなどを取得していれば、より効果的だとしています。
対象は、小規模事業者を除く中小企業まで
このガイドラインが想定する読み手は書かれています。大企業及び中小企業で、小規模事業者は除かれています（1.1(3)）。
理由も添えられています。企業規模を問わずサイバーセキュリティリスクを考慮することが求められるが、あらゆる企業規模に対応した記述を行うことが困難であるため、としています。
小規模事業者や、これから取り組む会社には別のものが示されています。IPAの「中小企業の情報セキュリティ対策ガイドライン」です（1.2）。
ガイドラインの位置づけも書かれています。国内企業間でサイバーセキュリティ対策を行う際の共通言語としての役割を担っている、と。
明日からできること
決めるのは、委託先の対策状況を誰がどこまで把握するかです。
まず、いま任せている先を書き出します。開発の委託先、運用の委託先、使っているクラウドサービス、APIでつながっている相手。原典が言うサプライチェーンには、この全部が入ります。
次に、役割と責任範囲が契約に書いてあるかを確かめます。指示9が求めているのは、サイバーセキュリティリスクへの対応に関して担うべき役割と責任範囲を、契約で明確化することです。書いていなければ、対策漏れが起きたときにどちらの持ち場だったかが決まりません（指示9）。
最後に、経営者が確認する場を決めます。指示の意味は、丸投げではなく実践の結果を確認する責任を負うことでした。付録Aにチェックシートがあり、3原則で9項目、重要10項目でさらに項目が並びます（付録A）。
IPAは、この項目の実践状況を可視化するツールも出しています（付録A）。自社の点数を出すためではなく、どこを聞いていないかを見つけるために使えます。
委託先に聞く前に、自社が何を任せているかを書き出すところからです。任せている範囲が分からないと、聞く相手も決まりません。