2019.07.17星野靖裕FacebookTwitterはてブまず、この長い名前の計画書、ご存じない方も多いかも知れません。これは、自然災害やサイバー攻撃に等によるIT障害が、国民生活や社会経済活動に重大な影響を及ぼす事業者を「重要インフラ事業者」と位置付け、その防護を目指したものです。(ANAのシステム障害などは、記憶に新しいところですね。確かに、この分野にサイバーテロが行われたとしたら、我々の生活に多大な影響が出ます。2000年からこの分野には、政府よりサイバーテロへの対策指示が出ています。この分野に対策指示を出すだけで良いのでしょうか。教育大手B社の情報漏洩が子会社からの、しかも再委託先社員によるものであったり、クラウドグループウェアSのデータをレンタルサーバ業者が消してしまったり、と、今や一事業主体のみで情報管理が完結する事は少ないでしょう。「重要インフラ事業者」だけが対策をしても、その先も含めたサプライチェーンまで意識して対策を立てないと、穴だらけになってしまいます。重要インフラの外部サービス(既存の重要インフラ事業者等でない外部委託先等の周辺事業者等が提供するサービス)への依存等実態を踏まえ、サプライチェーン全体にセキュリティ関連の情報共有等の取組を拡充していく。政府では、上記の様に取り組みの拡充を目指しています。この見直しは、平成29年3月末までに実施される予定です。サプライチェーンマネジメントの判断基準さて、ではここで現在の「重要インフラ事業者」の立場になって考えてみましょう。あと1年もしないうちに、政府の指示が見直され、サプライチェーンの末端がサイバーテロに遭ったとしても、自分たちの管理責任が問われることになってきます。情報セキュリティに於いて“100%大丈夫”なんてことはありませんよね。それでも何かあれば自分たちのせいになる。何らかの方法で客観的に“ここに委託しても大丈夫だと思った”と言い訳できるようにしておかないと、全部自分たちが悪いことになります。それじゃイヤですよね。そこで出てくるのが「サイバーセキュリティ経営ガイドライン」です。国が出しているガイドラインですから、一つの目安になります。サイバーセキュリティ経営ガイドライン“サイバーセキュリティ経営ガイドラインに準拠した体制だったので、この会社に委託した”と言えれば、重要インフラ事業者の担当者も安心なのではないでしょうか。国の基準なのですから、社会的に文句言われることも少ないでしょう。この「重要インフラ事業者」13分野からの仕事を受けている企業は、平成29年3月以降、サイバーセキュリティ経営ガイドラインへの準拠を求められることになるでしょう。残り1年もありません。中小規模事業者の多くは自力でこのガイドラインへの準拠を成し遂げることも大変です。マイナンバー導入に続き、頭の痛い取組が続きます。視点を備え、効果的なマネジメントシステムの構築を指導。人員一桁から数千人の一部上場企業まで幅広くコンサルティングを行う。セキュリティ情報を伝えるべく日々奮闘中プロフィールはこちら事務局からのお知らせ当サイト掲載コンテンツの二次利用について2019.08.07当サイトコラムニスト星野靖裕さんが東京新聞に取材されました。資料請求リストに製品がありません。