約4割の日本企業で「セキュリティインシデントに関する最終責任者が不明確」　ファストリー調査：有識者は「責任は一個人に帰属するものではない」と指摘

　「近年、データ侵害に対する企業の説明責任に注目が集まり、CISOの責務拡大に対する懸念が増大している」とファストリーは指摘する。その背景には、米国証券取引委員会（SEC）が、サイバーセキュリティリスク管理、戦略、ガバナンス、公開企業によるインシデント開示に関する規制を強化したことがあるという。

　調査結果によると、こうした“CISOの責務拡大に対する懸念”に対処するため、過去1年間にポリシーを変更した日本企業の割合は86％。取締役会での戦略的意思決定にCISOの関与を増やしている日本企業の割合は32％だった。さらに、32％が、過去1年間で賠償責任保険を含むサイバーセキュリティチームへの法的支援を改善し、セキュリティにより多くのリソースを割り当てていた。

　このようにセキュリティへの関心は高まっているが、説明責任の面では課題が残る。調査結果によると、日本企業の37％でセキュリティインシデントに関する最終責任者が不明確だった。ファストリーは「企業が責任を内在化させており、規制ガイダンスをセキュリティ体制の改善につなげる際の大きな課題になっている」と分析している。

セキュリティインシデント発生時の責任者が明確かどうか（提供：ファストリー）

　ファストリーの今野芳弘氏（カントリーマネジャー）は次のように述べている。

　「サイバーセキュリティの責任は一個人に帰属するものではない。リスク軽減の方法と仕組みの実装には、組織の各レベルでの明確なコミュニケーションが必要だ。つまり、経営層と現場の間でセキュリティリスクや対応方針の共通認識を持つため、情報を正確かつ分かりやすく伝達する必要がある」