IPA 中小企業の情報セキュリティ対策ガイドライン（第2版）

中小企業の経営者諸君、情報セキュリティ対策の必要性を理解せよ！

IPAは、7年ぶりに「中小企業の情報セキュリティ対策ガイドライン」を改訂。経営者が情報セキュリティの重要性を自ら認識するための「経営者編」を新設した他、情報セキュリティ対策の具体的な導入が行えるよう図表を多用した改編などが行われている。

公開 2016年12月08日 08時00分

更新 2017年12月11日 16時20分

著者

八木沢篤

[TechFactory]

印刷する連載新着通知を受け取る

　近年、製品の技術情報や顧客・取引情報といった企業の情報資産が狙われるケースが増えており、標的型攻撃や内部不正などによる情報漏えい、ひいては金銭窃取、業務妨害といったリスクにさらされている。

　大手・中堅企業を中心に、「セキュリティ対策／強化」に対するIT投資意欲が高まりをみせているという、IT調査会社からのレポート（関連記事：情報セキュリティ責任者を取締役にすべし！国内情報セキュリティの現状と課題）なども発表されているが、個人情報保護法改正に伴い、企業に求められる法的責任も増しており、“中小企業”にとっても情報セキュリティは重要な経営課題となっている。

　情報処理推進機構（IPA）では、2016年3月に中小企業の情報セキュリティの調査を公開。それによると、情報セキュリティ対策の向上に必要なこととして「経営者への情報セキュリティ意識向上」（57％）が最多回答だったという。その一方で、経営者の56％が「情報セキュリティ担当者を任命していない」と回答。さらに「情報セキュリティに関する相談先がない」（47％）という切実な課題も浮き彫りとなった。

　こうした背景を受け、IPAセキュリティセンターは2016年11月15日に「中小企業の情報セキュリティ対策ガイドライン」の第2版を公開した。およそ7年ぶりの改訂となり、内容を刷新。中小企業の経営者、情報資産管理者やIT担当者が、情報セキュリティ対策の必要性を理解し、情報を安全に管理するための具体的な手順などを示した。

◎編集部イチ押し関連記事

もう無関心ではいられない「情報セキュリティ対策」

&raquo そもそも「脆弱性」って何？　
&raquo もしも「サイバー攻撃」の被害に遭ったら？　
&raquo 国内情報セキュリティの現状と課題　
 &raquo 紙からの情報漏えいをどう防ぐ？

⇒「情報セキュリティ対策」関連の新着記事をチェックする

第2版の構成と主な改訂ポイントとは？

　第2版では、情報セキュリティ対策において最も重要な意思決定者である経営者が情報セキュリティの重要性を自ら認識するための「経営者編」を新設した。また、旧版のガイドラインを専門的知識のない実務担当者でも実践できるよう、具体的に手順を記した「管理実践編」に改編。さらに、対策の実践に必要な各種ひな型を「付録」に追加した。実践すべき内容については、スマートフォン、タブレットなどのモバイル端末や、クラウドサービス、マイナンバーといったIT環境の変化や法整備にも対応した。

　中小企業の情報セキュリティ対策ガイドライン（第2版）の構成と主な改訂ポイントを以下に示す。

構成	改訂種別	改訂のポイント
経営者編	新設	“経営者がなぜ情報セキュリティに取り組む必要があるのか”に力点を置き、取り組まない場合の経営面の影響、法的・道義的責任について解説。経営者が認識すべき「3原則」、経営者として取り組むべき「重要7項目の取組」を記載
管理実践編	改編	専門知識のない実務者や経営者自らも取り組めるように、図表を多用しながら、情報セキュリティ対策の具体的な導入手順から、課題の改善手順を記載
付録	追加	管理実践編への取り組みを容易なものとするためのツール・資料などで構成
表1　「中小企業の情報セキュリティ対策ガイドライン（第2版）」の構成と改訂のポイント

　前述の通り、中小企業にとっても情報セキュリティの向上は不可欠であり、実現のためには、経営者の関与と専任者を配置するなどの役割が重要となる。今後、IPAでは同ガイドラインの冊子化を予定しており、さらなる普及活動を行う方針。併せて、中小企業との関わりの強い商工団体や士業の団体、IT関連団体などと協力・連携し、全国各地のセミナーなどを通じて啓蒙活動も行っていくという。