悩み(1) IT部門のみで経営層のセキュリティ意識を向上させることに限界を感じている

 a社では、製造部門でIoTの利用が進んでいる等、経営としてセキュリティに取り組む必要性とともに以下のような悩みを持っていた。

• 経営層はセキュリティリスクを認識してはいるが、ITリテラシーが十分でない
• 経営層もサイバーセキュリティのトレンド等を理解していなければ、適切な経営判断が下せない

一方、部下の立場から経営層に研修を実施することに否定的な意見もあり、経営層のためのセキュリティ教育の実施について悩んでいた。

そこでa社のCISOであるIT部門の部長は、セキュリティ研修を提供する外部機関に相談の上、研修の必要性や役員が受講したい内容を確認するために役員に対してアンケートを実施し、役員向け研修を企画・開催した。

ビジネス誌等で見聞きする内容について外部講師に質問できたり、事業部間でリスク認識を共有できたり、と研修を受講した役員からの評判も上々であり、今後は年1回定期的に開催することが決まった。
部長は、外部講師の指摘に関連する社内の対策状況を定量的に報告するようにした。さらに、経営会議では経団連やNISCなど外部のセミナーや研修があれば紹介するようにした。

a社のCISOであるIT部門の部長は、経営層向けのセキュリティ研修実施の効果を「セキュリティに興味を持った結果として経営層が外部のセミナー等にも参加するようになった」ことにあると考えている。

まずは自社内の役員間においてリスク認識が共有されたことに加え、外部セミナー等に参加すると、他社の役員ともリスクや対策に関する情報共有が行われ、セキュリティ投資に関する理解が得られやすくなったと感じている。