仕事関係 — コンセプト記事
— 点数ではなく、根拠の資料で確かめる —
自社の情報セキュリティが、目指す姿とどれだけ離れているか（ギャップ）を確かめたいとき、何を物差しにすればよいのでしょうか。 答えを先に言うと、公的な物差しで点数をつけたうえで、その点数の「根拠の資料」を一つずつ確かめることです。資料を示せないものは、できているとは判定しません。
この記事を読むとできること
想定している使い方
情報セキュリティ委員会の事務局が、責任者や情報システム部門と一緒に現状を確かめるときのたたき台にすることを想定しています。 技術の専門家でなくても、資料を求めることで実態に近づける形にしました。
読む目安：約10分 ・ 仕事関係のコンセプト記事 ・ 図1枚
現状の確認は、多くの場合、責任者が質問票に答えて点数をつける形で行われます。ところが、自分の答えだけでつけた点数は、実態より高くなりがちです。規程があることと、規程どおりに動いていることは別だからです。
そこで、点数の一つひとつに「根拠の資料」を添えてもらいます。「その記録を見せてください」と聞くだけなら、技術の専門家でなくてもできます。資料を確かめることで、点数は実態に近づき、何から手をつけるべきかもはっきりします。
図の見方：上の段は、質問票への自己申告だけで点数をつける場合です。「規程がある」ことでできたことにしてしまい、点数が実態より高く出て、手を打つべき所が見えません。下の段は、点数に根拠の資料を添えてもらう場合です。点数が実態に近づき、次に打つ手が決まります。
物差しは、組織の規模で選びます。目安として、従業員が数百人を超える組織なら、経済産業省の「サイバーセキュリティ経営ガイドライン Ver3.0」の重要10項目を軸にします。経営者が担当の幹部に指示すべきことを10項目にまとめたものです。点数は、IPA（情報処理推進機構。国の情報セキュリティの支援機関）が無料で公開しているサイバーセキュリティ経営可視化ツールをそのまま使います。10項目の実施の状況を5段階で自己評価し、レーダーチャート（項目ごとの点数を、くもの巣のような図で示すもの）で見られます。自前で物差しを作るより、グループの会社や他社と比べやすくなります。
小さな組織や、グループの中の小さな会社には、IPA の「中小企業の情報セキュリティ対策ガイドライン」（2026年3月に第4.0版が公開）の方が合います。経営者向けの指針と、自社の状況を確かめるチェックシートが付いています。
可視化ツールは点数を出すだけなので、事務局は次の列を持つシートを別に作り、点数の根拠と、次にやることを残します。
| 列 | 書くこと |
|---|---|
| 項目と問い | 重要10項目の名前と、次の節の問い |
| 現状 | 事実だけを書く（「規程はあるが、委託先の確認は年に数社だけ」など） |
| 根拠の資料 | 規程・議事録・記録の名前。資料が無ければ「できている」と判定しない |
| 点数と目標 | 可視化ツールの5段階の点数と、いつまでに何点を目指すか |
| ギャップと対応の案 | 目標との差と、それを埋める手立て |
| 担当と期限 | 部署と期限 |
項目の名前は、IPA のプラクティス・ナビ（10項目ごとの取り組みの例を集めたページ）の表記に合わせ、少し短くしています。問いは、資料で答えられる形にしました。
| 項目 | 確かめる問い | 根拠の資料の例 |
|---|---|---|
| 指示1 リスクの認識と、組織全体での対応方針 | サイバーのリスクが全社のリスク管理の対象に入っているか。経営者が表明した方針はあるか | 基本方針、全社のリスク一覧、有価証券報告書などのリスクの記載 |
| 指示2 リスク管理の体制 | 責任者は役員級か。取締役会に定期的に報告されているか。グループの会社まで体制が及んでいるか | 組織の規程、委員会の規程、取締役会の議事録 |
| 指示3 予算・人材などの資源 | セキュリティの予算を IT の予算と分けて把握しているか。担当者の人数と育成の計画はあるか。外部に任せる範囲は決まっているか | 予算書、人員の計画、研修の記録、外部への委託の契約 |
| 指示4 リスクの把握と対応の計画 | 守るべき情報とシステムの一覧があるか。リスクごとに「対策する・保険で移す・受け入れる」を決めているか | 情報資産の台帳、リスク評価の表、サイバー保険の証券 |
| 指示5 リスクに対応する仕組み | 攻撃を防ぐ・見つける仕組みがあるか（次の節の補助シートで確かめる）。全従業員に教育しているか | 補助シート、教育の受講の記録、偽メールの訓練の結果 |
| 指示6 PDCA（計画・実行・評価・改善のくり返し）による継続的な改善 | 取り組みの進み具合を指標で測っているか。内部監査や第三者の評価を受け、結果で計画を直しているか | 委員会の報告資料、監査の報告書、診断の報告書 |
| 指示7 事故のときの緊急対応の体制 | 対応の手順と体制があるか。法的な報告の義務を整理しているか。訓練しているか | 対応手順書、連絡網、訓練の報告書 |
| 指示8 事業の継続と復旧の体制 | システムが止まったときの業務の続け方は決まっているか。バックアップから実際に戻せることを確かめたか。復旧の優先順位と目標の時間はあるか | 事業継続計画、部門別カード、復元の試験の記録 |
| 指示9 委託先を含むサプライチェーン（部品や業務の委託でつながる取引先の連なり）全体の把握と対策 | 委託先やクラウド（インターネット経由で借りるサービス）の一覧があるか。契約にセキュリティの条項があるか。重要な委託先の対策を確かめているか | 委託先の一覧、契約書、委託先のチェックシートの回答 |
| 指示10 情報の収集・共有・開示 | 弱点や攻撃の情報を定期的に得ているか。業界の情報共有の場に参加しているか。被害を報告し公表する備えがあるか | 情報の入手先の一覧、公表文の雛形 |
事故への備えの文書（対応手順書・報告義務の一覧・経営判断の原則）と部門別カード（システムが止まったとき、部署ごとに何をするかを書いたカード）を整えると、指示7・8・10が大きく前に進みます。情報資産の棚卸しは指示4の、委託先の一覧は指示9の根拠の資料になります。
経営ガイドラインは経営者に向けたものなので、指示5の「仕組み」の中身は薄くなります。そこで、ランサムウェア（データを暗号化して元に戻す代わりに金銭を要求する攻撃）の被害で実際に突破口になりやすい点に絞って、情報システム部門に確かめます。どの問いも「はい・いいえ・その証拠」で答えてもらえば、専門家でなくても評価できます。
| 分野 | 確かめる問い | 「できている」と判定する証拠 |
|---|---|---|
| 外からの入口 | VPN 機器（社外から社内のネットワークに入るための装置）など、インターネットに面した機器の一覧はあるか。弱点が公表されたら何日で更新しているか | 機器の一覧と、直近の更新の記録（日付つき） |
| 多要素認証（パスワードに加え、スマホでの確認など別の方法でも本人確認すること） | VPN・クラウドのサービス・管理者のアカウントに、パスワード以外の認証を必須にしているか | 設定の画面と、例外のアカウントの一覧 |
| 管理者の権限 | 管理者の権限を持つアカウントはいくつあるか。退職者のアカウントが残っていないか | 管理者のアカウントの一覧と、最後に見直した日 |
| バックアップ | 少なくとも1つは社内のネットワークから切り離しているか。実際に戻せたことを確かめたか。基幹システム（会社の業務の中心になるシステム）を全部戻すのに何日かかるか | 復元の試験の記録と、かかった時間 |
| 端末の監視 | 端末やサーバーの怪しい動きを見つける仕組みがあるか。その警告を夜間・休日に誰が見ているか | 入れた台数の割合、監視の委託の契約 |
| 記録（ログ） | 侵入されたあとで経路を調べられるだけの記録を、何か月分残しているか | 記録を残す期間の設定 |
| 工場の制御の仕組み | 生産設備のネットワークは事務のネットワークと分かれているか。つながっている箇所を把握しているか。保守業者のリモート接続を管理しているか | ネットワークの構成図、保守の接続の記録 |
| グループの会社 | 子会社も上の守りを同じ水準で行っているか。子会社と親会社のネットワークはつながっているか | 子会社ごとの確かめた結果 |
工場の制御の仕組みは見るべき点が別になるので、詳しく確かめるときは経済産業省の「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」を使います。取引先から評価の取得を求められる可能性がある、経済産業省の「サプライチェーン強化に向けたセキュリティ対策評価制度」の要求の事項が公表されたら、このシートに対応を足します。
part 1 — 目安 1か月
責任者と情報システム部門に、可視化ツールと、重要10項目・補助シートの2つの表に答えてもらいます。答えごとに、根拠の資料の名前を添えてもらいます。
✓ ここまでの確認：どの答えにも、資料の名前か「資料なし」が書かれている
part 2 — 目安 2週間
事務局が資料を実際に開いて確かめます。資料の無い「できている」は差し戻し、点数を下げます。責めるためではなく、実態をそろえるための作業だと最初に伝えておきます。
✓ ここまでの確認：資料で裏づけられた点数だけが残っている
part 3 — 目安 初回のみ1〜2か月
初めての年は、外部の評価者に同じシートで第三者の評価を頼み、自己評価との差を見ます。責任者の力量に不安があっても、個人を責める形にせずに実態と弱点を確かめられます。
✓ ここまでの確認：自己評価と第三者の評価の差が、項目ごとに分かっている
part 4 — 目安 年に1回
委員会でギャップと対応の案を決め、担当と期限を割り振ります。レーダーチャートを取締役会に報告し、翌年に同じシートで評価し直して、前の年と比べます。
✓ ここまでの確認：対応の案に担当と期限が付き、取締役会への報告が済んでいる