プラクティス3-3 サイバーセキュリティ対策のための、必要なサイバーセキュリティ人材の定義・育成

背景

プラクティス2-1に記載した従業員数1,200名規模の流通業であるD社では、サイバーセキュリティリスクを管理する横断的な組織としてサイバーセキュリティ委員会を設置した。

D社はシステムの開発・運用を外部委託しているが、IT統括部の部長は経営リスクであるサイバーセキュリティについての対策をすべて外部に任せることはできないと考えた。そして自社に必要な知識・スキル(注釈1)を「専門ベンダとコミュニケーションできるレベルのセキュリティの基礎知識」 、「自社にとって最適なサイバーセキュリティ対策を選択する能力」と定義し、IT統括部の担当者に専門ベンダの勉強会・セミナー、業界団体の勉強会に参加させることにした。

1. 注釈1
   組織におけるセキュリティ機能の配置、業務運用手順検討、必要なスキルの整理に向けては、下記の資料も参考にできる。
2. 産業横断サイバーセキュリティ人材育成検討会：ユーザ企業のためのセキュリティ統括室構築・運用キット(統括室キット)
3. 日本ネットワークセキュリティ協会（JNSA）：セキュリティ知識分野（Sec Bok）人材スキルマップ各年版

D社の実践のステップ

IT統括部長が実践したステップ(注釈2)は下記の3点である。

1. 自組織に必要な役割のうち、専門ベンダを活用する領域、自社で対応が必要な領域を整理する
2. (1)の整理結果それぞれに対し、必要な能力・スキルをIT統括部内で協議、決定する。その上で、担当者をアサインし、責任を与える
3. 担当者の育成に必要な教育や研修を洗い出し、受講させる

1. 注釈2
   サイバーセキュリティ経営ガイドライン付録F『サイバーセキュリティ体制構築・人材確保の手引き』では、本プラクティスをITSS+（セキュリティ領域）を用いて実践する場合の手順を紹介している。
2. サイバーセキュリティ経営ガイドライン付録F『サイバーセキュリティ体制構築・人材確保の手引き』

D社の実践内容

IT統括部では、サイバーセキュリティにおいて外部委託する機能についても自社に必要な知識・スキルを定義した。これにより専門ベンダを活用する領域においても自社で最低限の情報収集が必要となることが明らかになり、ベンダ主催の勉強会やセミナーについても担当者をより適切なものに参加させることができるようになった。

更新履歴

• 2026年4月28日

  新規公開