情報セキュリティの見直しと強化（監査と点検） ２／３

中小企業の経営者や情報システム担当者の皆さん、日々のセキュリティ対策、お疲れ様です。

本記事では、組織における情報セキュリティへの取り組みを評価して、さらなる改善へと導くための監査・点検の重要性とその実施方法について説明します。

全３回にわたってお伝えするこのシリーズ。2回目となる今回は、実施した監査と点検の結果をどのように活かすかに焦点を当てます。

前回の記事はこちら：「情報セキュリティの見直しと強化（監査と点検）1／3」

１．監査・点検における経営者の役割

品質管理や業務改善においてよく使われる経営管理手法にPDCAサイクルがあります。

PDCAサイクルとは、計画（Plan）→ 実行（Do）→ 確認（Check）→ 改善（Act）の4段階で構成され、多くの企業で使用されています。

監査・点検は、このPDCAサイクルの「確認（Check）」に該当します。

現代では、企業の競争力を維持・強化するためのデジタルトランスフォーメーション（DX：Digital Transformation）の推進が重要な経営課題として挙げられています。このDXを推進するうえで、情報セキュリティへの対策が必要不可欠です。

経営者は情報セキュリティ監査および点検の結果を適切に活かし、組織全体のセキュリティ水準を高めることが求められます。

２．経営者が実行すべき「重要７項目の取組」

中小企業で情報セキュリティを確保するために、経営者は以下の「重要７項目の取組」を推進する必要があります。これには情報セキュリティポリシーの策定や、実際に情報セキュリティ対策を実践するうえでの責任者・担当者に明確な指示を出すことが含まれます。

場合によっては、情報セキュリティの責任者として経営者自らが実行することも必要になると考えられます。

３．監査・点検結果を経営管理に活かす

経営者にとって、前述の「重要７項目の取組」を通じて、情報セキュリティの確保が会社にとって不可欠であることは理解できても、社内の実施状況を正確に把握し、適切な対策を講じることはなかなか難しい課題です。

経営者が状況を把握できていないと、的確な意思決定や指示、命令が疎かになり、事故発生のリスクが大きくなってしまいます。

そこで、監査や点検の結果を経営者に報告し、経営者が意図するセキュリティ対策が実現できているか評価することが極めて重要です。

これにより、経営者は社内の情報セキュリティの状況を適宜把握することができ、精緻にリスク管理と改善を図ることが可能になります。

このような取り組みによって、企業全体のセキュリティ水準を向上させることが期待できます。その結果、経営管理の一環として監査・点検の結果を最大限に活用することができるのです。



なお、本稿は、独立行政法人情報処理推進機構（IPA）が発行している「中小企業の情報セキュリティ対策ガイドライン第3.1版」を参考に解説しています。

次回は、「内部環境・外部環境の変化を監査・点検で見逃すな！」について解説します。