「事業を止めない」ためのセキュリティガバナンス
──平時・有事を問わず「あるべき体制」と経営のリスク判断

AI技術の加速度的な進化、2026年に本格施行を迎える「サイバー対処能力強化法（能動的サイバー防御）」、さらには経済産業省によるサプライチェーン評価制度（SCS評価制度）の開始など、企業を取り巻くサイバーセキュリティ環境は歴史的な転換期を迎えています。従来のように「セキュリティ対策はIT部門に任せておけばよい」「何か起きてから考える」という対応では、複雑化・高速化する脅威から事業を守りきれません。今、企業に求められているのは、平時から有事までを一貫したガバナンスとして組み込み、全社・サプライチェーンを巻き込んで迅速に判断できる体制の確立です。

本コラムでは、最新のセキュリティ動向を踏まえ、企業が目指すべき「あるべきセキュリティ体制」の全貌と、経営層が下すべきリスク判断のあり方について解説します。

1.2026年、セキュリティ体制の見直しが急務となる「3つの背景」

なぜ今、従来のセキュリティ体制では通用しなくなっているのでしょうか。背景には経営に直結する3つの大きな変化があります。

1-1. AIの進化による攻撃の「大量・超高速化」

最新のAIモデル（例：Claude Mythosなど）は、プログラムや機器に潜む脆弱性を人間の何倍ものスピードで発見できるようになっています。攻撃側がこの技術を悪用することで、IT部門が手動でパッチ（修正プログラム）を当てる運用そのものは今後も欠かせないものの、それだけでは対応スピードの面で防御側が後手に回りかねない時代に突入しました。
こうした状況は、防御側にとって単なる技術トレンドの一つではなく、パッチ運用や脆弱性診断のサイクルそのものを見直す必要に迫られていることを意味します。年次診断や四半期ごとの棚卸しといった「点」の対応だけでは、AIが自動生成する新種の攻撃コードに追いつけません。従来からの手動パッチ運用を土台としつつ、脆弱性情報の自動収集と対応優先度の判定（スコアリング）、インターネット上に公開された自社IT資産を継続監視する「EASM（External Attack Surface Management）」、24時間365日で侵入の兆候を検知・対応する「MDR（Managed Detection and Response）」を組み合わせ、「面」で守る体制へと転換することが急務です。

【コラム】AI時代に、企業が構築すべき“AI前提の防御基盤”

AIの悪用によるサイバー攻撃はすでに現実の脅威となり、攻撃のサイクルは人間の判断スピードを超えつつあります。属人化した管理や事後のマニュアル対応では、もはや間に合いません。本コラムでは、農業革命から続く歴史的視点で生成AI時代のリスクを捉え直し、「AIをどう守るか」から「AIでどう守るか」へと転換する「AI前提の防御基盤」の重要性を解説します。

/securityknowledge/column/202606.html

1-2. 法律・社会要請の厳格化（能動的サイバー防御と新評価制度）

2026年中に施行される「サイバー対処能力強化法（能動的サイバー防御）」では、基幹インフラ事業者だけでなく、そこにつながるITベンダーや委託先企業にも適切な管理や報告、連携が間接的に求められます。また、経済産業省が2026年度末ごろの運用開始を予定している「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」により、セキュリティ対策状況を「★（星）の数」で客観的に可視化・評価する仕組みが本格化しており、対策の不備は取引排除リスクに直結します。
特に注意したいのは、このSCS評価制度が「★（星）」の数によって段階的に運用される点です。自己評価による★1・★2から、セキュリティ専門家の確認を経た★3、評価機関による第三者評価・技術検証を伴う★4まで、評価水準が明確に区分されており、取得した星の数に応じてセキュリティ対策状況が発注元企業から見える形になります。星が少ない、あるいは未取得の状態が続けば、他社と比較して自社サービスの価格や品質が同等でも「取引先として選ばれづらくなる」「既存契約の見直しを求められる」といった事態になる可能性がでてきました。取引先からどの★レベルを求められる立場にあるのかを早期に把握し、計画的に評価取得の準備を進めておく必要があります。

1-3. 「情報を守る」から「事業（工場）を止めない」への変化

ランサムウェア攻撃などに代表される現在の脅威は、単なる情報漏えいにとどまりません。

• 受発注・基幹システムの停止による生産・出荷業務の停止

• 設計データや知的財産の持ち出し・改ざん

• サプライチェーン寸断による取引先への被害波及

これらは、企業の継続性を左右する重要な経営リスクです。
実際に発生しているランサムウェア被害の多くは、工場の制御システム（OT）そのものが直接暗号化されるケースよりも、受発注システムや基幹システム（ERP：Enterprise Resource Planningなど）といった事務系のIT基盤が先に被害を受けるケースが中心です。しかし現代の工場は、生産指示・部品調達・出荷情報の多くをこれらのITシステムに依存しているため、OT設備そのものは物理的に無事であっても、必要な情報が届かなくなれば生産ラインを止めざるを得なくなります。OTは生きているが、ITが止まっており、生産はできるが（OTの領域）、出荷ができない(ITの領域)という事態につながります。生産ラインが数日から数週間にわたり停止し、取引先への納期遅延や損害賠償リスクにまで発展しかねません。「情報が漏れたら困る」という発想だけでなく、「ITが止まれば工場も止まる」という事業構造そのものを踏まえてリスクを再評価することが、経営に求められています。

【コラム】なぜ今、「アセスメント」が根本解決の鍵なのか？

目の前の脆弱性を塞ぐツール導入という「部分最適」だけでは、企業のビジネスは守りきれません。数多くのインシデント対応の経験から見えるのは、被害拡大の背景に潜む属人化・報告の遅れ・規程の形骸化といった組織的・構造的な課題です。本コラムでは、根本原因を掘り下げる「アセスメント」や「監査」の有効性と、SCS評価制度がもたらす影響を詳しく説明します。

/securityknowledge/column/202607.html

2.【平時】主体的な管理と監視を機能させる「ガバナンスの枠組み」

平時におけるあるべきセキュリティ体制とは、単に規程（ルール）が存在する状態ではなく、経営層から中間管理層まで、日々の業務判断や部下への指示の中にセキュリティリスクの視点が組み込まれている状態を指します。そのためには、まず管理職一人ひとりに求められる役割と力量（知識・スキル）を階層別に明確化し、そこから体制を整えていくことが出発点となります。

2-1. 組織及び力量定義例

セキュリティ体制の構築では、意思決定を行う「委員会」と、現場の運用・統制を担う「推進・統制部門（準備室・事務局）」の役割分担を明確にすることが第一歩です。特に、AIツールやクラウドサービスの利用申請など、意思決定のスピードが求められる場面では、委員会が細部まで逐一承認する体制では現場のニーズに追いつけません。日常的な運用判断は推進・統制部門に権限を委譲し、委員会はリスクの大きい戦略判断や資源配分に集中する「メリハリ」のある役割分担が、実効性のあるガバナンスの鍵となります。
ただし、こうした組織上の役割分担だけでは、ガバナンスは機能しません。部門長・部長・課長・主任といった各階層の管理職が、自らの役割に応じてどのような判断・行動を取るべきかを「力量（知識・スキル）」として具体的に定義し、社内規程に落とし込んでおくことが不可欠です。以下は、その組織体制と階層別の力量定義の一例です。

2-2. セキュリティ部門だけではない「各現場の主体的な関与」

あわせて、DX推進部署のみならず、工場（OT）、顧客向けWebサービス、サプライチェーン管理部門など、すべての情報を扱う業務部門が「自部署のリスクの第一責任者」となる必要があります。
また、自律型AI（エージェントAI）などの利便性を取り入れる際は、プロンプトインジェクション（悪意ある指示の埋め込み）による意図しないデータ削除や乗っ取りを防ぐため、「人間の最終承認（Human-in-the-loop）」と「最小権限原則」をルール化することも重要です。
こうした主体的な関与を機能させるには、推進・統制部門と各事業部門が定期的に情報交換を行う「連携会議」のような場を設け、部門が独自に契約しているクラウドサービスやツール（いわゆるシャドーIT）を可視化し、必要に応じて推進・統制部門が是正を支援する仕組みも欠かせません。

2-3. 属人化を排除する「セキュリティアウェアネス」の醸成

加えて、「特定の詳しい担当者一人に依存している（一人抜けたら終わり）」状態や、「不審な点に気づいても怒られるのが怖くて報告できない」という組織文化も重大なリスクです。
経営層から一般社員まで、階層に応じたセキュリティ教育を実施し、異常やミスを早期に報告・相談できる文化（セキュリティアウェアネス）を全社に定着させなければなりません。
報告した人を責めるのではなく、報告したことを評価する「心理的安全性」を組織文化として根付かせることも重要です。定期的な訓練やヒヤリハット事例の共有を通じて「気づいたらすぐ報告する」という行動を習慣化することが、インシデントの早期発見・早期対応につながります。

2-4. 継続的なセキュリティ監視（MDR / EASM）

ポイントでの点検（年1回の診断など）に加え、24時間365日体制で端末やサーバーの挙動を監視する「MDR（Managed Detection and Response）」や、インターネット上に公開されている自社・グループのIT資産を継続監視する「EASM（External Attack Surface Management）」の導入により、侵入の兆候を早期に検知する仕組みも不可欠です。
重要なのは、検知した異常を「検知して終わり」にせず、次章で述べる有事の危機管理体制へとシームレスに連携させることです。平時の監視体制と有事の対応体制が分断されていると、異常を検知しても対応が後手に回ってしまいます。

3.【有事】迷いをなくす「危機管理体制」と権限委譲

インシデント（事故）が発生した際、被害を最小限に抑えられるかどうかは「誰が最終判断を行うのか」「現場が即座に動けるか」にかかっています。

3-1. 有事の迅速な意思決定を支える「3層構造」

有事における指揮命令系統は、混乱を防ぐために明確な3層構造で整理します。

【有事のガバナンス：3層の役割】

• 1. 経営層（対策本部）: 事業継続の可否、法的判断、対外発表（公表）の最終意思決定

• 2. 統括部門（CSIRT（Computer Security Incident Response Team：インシデントが起きたときに対応する専門チーム） / 推進・統制部門）: 情報集約、リスクレベルの判定（トリアージ）、調査・復旧の指揮

• 3. 現場（IT担当・各事業部）: 被害拡大防止措置（端末隔離・ネットワーク遮断など）の実務実行

この3層構造を機能させるには、平常時から「誰が・何を・どのタイミングで報告し、誰が最終判断を下すのか」を明文化したエスカレーションフローを整備し、関係者全員が自分の役割を即座に思い出せる状態にしておくことが不可欠です。

3-2. 方針の明確化と「権限委譲」の重要性

有事の初動対応では、「ネットワークを遮断してよいか」「工場ラインを止めてよいか」を確認している時間が、対応の遅れにつながります。
あらかじめ「感染の疑いがある場合は、現場判断で該当ネットワークを隔離できる」といった初動対応方針と判断基準を定め、必要な権限を委譲しておくことが、被害拡大を抑える鍵となります。
権限委譲にあたっては、「どこまでを現場の判断で実行してよいか」の線引きを具体的な基準（対象システムの重要度、想定される事業影響の大きさなど）とあわせて定めておくことで、現場が萎縮せずに迅速な初動対応を取れるようになります。

3-3. 「動ける」IT-BCPの確立と定期訓練

インシデント発生時に業務をどう継続・復旧させるかの「IT-BCP（IT業務継続計画）」を策定するだけでなく、定期的なインシデント対応訓練を重ねることが重要です。夜間や長期休暇中など、体制が手薄になるタイミングを想定した訓練を行うことで、計画の「穴」を洗い出し、実効性を高めることができます。
また、能動的サイバー防御法のもとで基幹インフラ事業者への報告義務が強化される流れを踏まえると、監督官庁や取引先への報告フローもIT-BCPに組み込み、誰が・いつ・何を報告するのかをあらかじめ整理しておくことが、有事における混乱を防ぐうえで重要になります。

4.貴社の「あるべきセキュリティ体制」を支えるGSXの支援サービス

制度対応や、平時・有事を通じたガバナンス体制の構築には、社内だけでは補いにくい専門性と即応力が求められます。GSXでは、本コラムで述べた体制づくりを支援するサービスを、フェーズごとに提供しています。
グローバルセキュリティエキスパート（GSX）は、セキュリティガバナンスの整備、日常運用、有事対応、人材育成までを一貫して支援します。

4-1. 現状把握・リスクの可視化

• リスク可視化支援

  セキュリティ状況を調査・評価し、影響の大きいリスクや対応の優先順位を明らかにするリスクアセスメントサービスです。技術面だけでなく組織体制やルールなど運用面のリスクも可視化します。

• ランサムウェア態勢評価サービス

  重要システムを選定し、サイバー攻撃時に何が起こるかを分析します。脅威シナリオに基づくリスク評価から、被害を最小限に抑える改善策の提示まで支援します。

• セキュリティスコアカード（SecurityScorecard）

  攻撃者視点で、自社およびサプライチェーン全体（委託先・グループ会社・取引先）の脆弱性を可視化し、継続的にモニタリングすることで「攻撃されにくい環境」を維持します。

• サイバー脅威・脆弱性監視サービス

  ASM（Attack Surface Management）等のツールと運用リソースを提供し、中堅・中小企業のセキュリティ運用課題の解決を支援します。

4-2. ガバナンス・体制整備・コンサルティング

• セキュリティSES

  CISO（最高情報セキュリティ責任者）や情報セキュリティ推進部門の補佐、体制構築プロジェクトの実務・PMを担えるセキュアな開発・運用要員を、様々な分野でご提供します。

• CSIRT構築運用支援サービス

  サイバー攻撃に対し迅速かつ適切に対応する組織「CSIRT（インシデントが起きたときに対応する専門チーム）」の構築および運用を支援し、有事の指揮命令系統を整備します。

• IT-BCP文書雛形パッケージ

  コンサルティング実績で培った知見に基づく文書雛形とQ&Aサポート、自社導入時の助言型支援により、事業継続に向けたIT-BCP（IT業務継続計画）の文書化・運用定着をサポートします。

• 情報セキュリティ文書雛形パッケージ

  情報セキュリティ関連文書の雛形提供と策定に関する助言支援サービスです。雛形をベースに規程・様式を整備することで、コスト・工数を抑えつつ網羅性と品質を確保できます。

4-3. 継続的監視・高度な防御（MDR：Managed Detection and Response）

• GSXエンドポイント保護サービス

  PC・サーバー・スマホなどの末端機器を守るサービス「CrowdStrike Falcon」をお客様の環境に導入し、そこから上がるアラート等を含め監視・運用を24時間365日体制でGSXが行い、異常検知時には専門チームが迅速に隔離・封じ込めを行います。

• EASM監視サービス（サイバー脅威・脆弱性監視サービス）

  インターネット上に公開された自社IT資産を継続的に可視化・監視するEASM（External Attack Surface Management）を中心に、SSPM/CSPM（SaaS・クラウドの設定不備を継続的に検査・是正する仕組み）も含めた運用リソースを提供し、外部からの攻撃対象領域を継続的に管理します。

4-4. 有事対応・訓練・教育（アウェアネス）

• 緊急対応サービス

  万が一のサイバー攻撃発生時、専門家が即座に原因調査・デジタルフォレンジック（機器やログを解析し、被害の原因・範囲を突き止める調査）を行い、被害の最小化と早期復旧を支援します。

• インシデント対応訓練サービス

  机上でのシミュレーション演習を通じ、サイバーセキュリティリスクへの組織的な対応能力と不測の事態への応用力向上を支援します。

• トラップメール（標的型攻撃メール訓練）

  標的型攻撃を模擬した訓練メールを対象者に送信し、攻撃メールへの対応を教育・訓練するサービスです。

• CISO講座

  CISOやCISOを支える人材、ITセキュリティを主管する従業員向けに、経営視点でのセキュリティ実務を短時間で習得できる講座です。

• ミナセキュア（Mina Secure®）

  従業員の情報セキュリティ意識を向上させるSaaS型のeラーニングサービスで、階層に応じた教育プログラムを提供します。

まとめ：変化を捉え、しなやかで強い組織へ

サイバー攻撃が高度化・複雑化する中、すべての攻撃を防ぐことは困難です。重要なのは、攻撃を受ける前提で、平時から可視化と監視を行い、有事には迅速な意思決定と権限委譲によって早期に回復できる組織体制を整えることです。
能動的サイバー防御法の施行やサプライチェーン評価制度の広がりは、企業にとって対応すべき制度であると同時に、自社の信頼性を高める機会でもあります。セキュリティガバナンスを経営戦略の一部として捉え、平時の備えと有事の対応力を継続的に高めることが、今後の企業価値を左右します。
貴社のセキュリティガバナンスの「現在地」に不安がある方、また何から手をつけるべきかお悩みの方は、ぜひ一度GSXにご相談ください。