TOP＞システムトレンド＞ IT事故を想定したBCPの策定

情報セキュリティガバナンスのあり方 第３回：情報セキュリティガバナンスの確立に向けて 著者：経済産業省  成田 裕幸   2005/12/20

前のページ  1  2  3

IT事故を想定したBCPの策定

高度にネットワーク化された社会においては、IT事故は企業一社の被害にとどまらず、社会全体に影響を与える可能性がある。企業は自社の経営に加え、そうした社会的責任という観点からも、情報セキュリティ対策を行う必要がある。    そのため企業には、IT事故に対する回復力を高めるために自社のBCP策定に取り組むことが望まれる。さらに最近では、取引先が相手企業のBCPの有無を確認する動きが顕在化しつつあり、今後はBCPの整備状況が企業の競争優位につながっていくことが予想されることから、（企業の規模、業種にもよるが）BCPを新たな「企業価値」と捉え、積極的にアピールしていくこともできる。

企業グループセキュリティの実現

近年の企業セキュリティにおいては、企業グループ全体としてのセキュリティをどのように維持するかという問題が顕在化している。同一グループであっても、グループ内の個々の企業の事業構造上の脆弱性や社会的影響力が異なるケースが数多く存在しており、一義的に対応策を定めることは困難である。    このため、情報セキュリティ対策ベンチマークや情報セキュリティ報告書モデルなども活用しつつ、グループ内への内部統制とグループ外への情報開示を効率的・効果的に進めていくための検討を各企業グループにおいて、それぞれの状況を勘案しつつ進めていくことが望まれる。

政府など関係機関に求められる取り組み

政府など関係機関においては、施策ツールの開発・維持・改善などを通じて、企業の情報セキュリティガバナンスに向けた取り組みを支援・促進していくことが望まれる。

施策ツールの開発・維持・改善

今まで提示してきた3つの施策ツール（情報セキュリティ対策ベンチマーク、情報セキュリティ報告書モデル、事業継続計画策定ガイドライン）については、セルフチェックのためのWebサイトの運用を通じた普及促進活動、普及状況の把握も含めたフォローアップ、アンケートなどによる指標データの定期的な更新、内容の改訂など実務レベルの運用業務を適切に実施することが望まれる。

政府など関係機関による啓発

企業が情報セキュリティガバナンスについての理解を深め、その考え方を実際の経営に取り入れていけるよう、セミナー、シンポジウムなどの普及・啓発活動を積極的に行う。

最後に

企業側の情報セキュリティへの関心は、これまでになく高まっている。去る12月9日（金）に、情報セキュリティガバナンス普及の一環として経済産業省が主催した、「情報セキュリティガバナンスシンポジウム」では、政府の取り組みや企業の先進事例の紹介などを行ったが、これには500名以上の企業の方々に参加していただいた。    このように企業の関心が高まりつつある中、経済産業省としては、これまで述べてきたような取り組みを通じて、情報セキュリティガバナンスの概念が広く企業の経営に取り入れられることにより、情報セキュリティへの取り組みが企業価値を高める1つの要素となるような社会を構築していきたいと考えている。    特にモデルケースとして我々が参考にしているのは、環境問題への取り組みである。    環境対策は当初水質汚染や大気汚染の防止という「公害対策」の側面が強く、企業にとっては「コスト」として認識されていた。しかし今や環境対策は「地球を守る」取り組みとして認知されており、企業や商品の「付加価値」となっているといえる。    こうした様々な取り組みを通じ、企業の情報セキュリティへの取り組みが、環境対策と同様、企業の付加価値として正当に評価される社会を構築し、企業およびその製品、サービスの利用者が、安全・安心にそれらを利用できるようにしていきたいと考えている。

前のページ  1  2  3

著者プロフィール 経済産業省  成田 裕幸 経済産業省 商務情報政策局 情報セキュリティ政策室 企画係長 平成13年に経済産業省に入省。貿易経済協力局通商金融・経済協力課に配属。その後資源エネルギー庁資源・燃料部 石油・天然ガス課勤務を経て、平成17年6月より現職。商務情報政策局情報セキュリティ政策室では、主に情報セキュリティガバナンスの普及などを担当。

INDEX 第3回：情報セキュリティガバナンスの確立に向けて   はじめに   各主体に求められる取り組み IT事故を想定したBCPの策定