情報セキュリティ
指示1 サイバーセキュリティリスクの認識、組織全体での対応方針の策定
公開日：2026年4月28日
指示内容
サイバーセキュリティリスクを経営者が責任を負うべき経営リスクとして認識し、組織全体としての対応方針（セキュリティポリシー）を策定させる。
策定した対応方針を対外的な宣言として公表させる。
実践に向けたファーストステップ
経営リスクを認識して、組織全体としての対応方針を策定・宣言する主体は経営者である。そのため、実践する上でのファーストステップとして下記2点が考えられる。
- 経営層向けにサイバーセキュリティリスクに関する報告を増やす
- 既存のセキュリティポリシーの内容を確認し、サイバーセキュリティの観点から必要な改訂をする
想定される企業の状況
指示1の実践に向けては下記のような状況や課題が想定されるため、本節ではそれらに対応した企業の事例をプラクティスとして紹介する。
- サイバーセキュリティリスクが自社にどのような影響を及ぼすか明らかになっていないため、経営者がサイバーセキュリティリスクを十分には認識していない
- 情報（顧客情報や営業秘密）保護の観点からセキュリティポリシー(注釈)を定めているが、サイバーセキュリティリスクは考慮されていない
- 海外拠点における情報保護に関するコンプライアンス対応が適切に実施されているかどうかを把握できていない
-
注釈
プラクティス
- プラクティス1-1 経営者がサイバーセキュリティリスクを認識するための、他社被害事例の報告
- プラクティス1-2 最新の脅威によるリスクに対応するための、セキュリティポリシーの改訂・共同管理
- プラクティス1-3 海外拠点における情報保護に関するコンプライアンスを拠点別チェックリストで担保
更新履歴
-
2026年4月28日
新規公開