評価基準 No.1-2-1-1
セキュリティ推進活動部門

「セキュリティを統括する役員」とは、どのような者を指すか？

・「セキュリティを統括する役員」とは、登録希望組織において、セキュリティ対応を統括する権限及び責任を有する者をいう。

・例えば、適用範囲が法人全体である場合には取締役、執行役員又は CISO 等が、事業部門等である場合には事業部長等が該当することが考えられる。なお、会社法上の役員であることを必ずしも求めるものではない。

・サイバーセキュリティへの対応には、平時における人員・予算等の経営資源の配分や、有事におけるシステム又は事業の停止等の経営判断が伴うため、必要な権限及び責任を有する者が組織全体の取組を統括する必要がある。以下の資料が参考となる。

-経済産業省・IPA「サイバーセキュリティ経営ガイドライン Ver3.0」（https://www.meti.go.jp/policy/netsecurity/mng_guide.html）

-経済産業省「産業界へのメッセージ」（https://www.meti.go.jp/policy/netsecurity/message.html）

「セキュリティを統括する役員及びセキュリティ担当部署の役割・責任」として、どのような事項を規定することが考えられるか？

・セキュリティを統括する役員及びセキュリティ担当部署の役割・責任としては、組織構造等に応じて、例えば以下のような事項を規定することが考えられる。また、この中には、実質的な作業を外部委託するものの、その委託先管理を行うことを通じて役割を果たす場合も含む。

-セキュリティを統括する役員の役割としては、例えば、セキュリティ対応方針の策定・見直しに関する指示、セキュリティ対応方針・予算・対策実施事項の承認等が考えられる。

-セキュリティ担当部署の役割としては、例えば、セキュリティ教育・普及啓発、セキュリティリスクアセスメントの実施、セキュリティ対応方針及び関連するガイドラインの策定・管理・周知、警察・官公庁等対応、社内相談対応、インシデントハンドリング等が考えられる。

-セキュリティを統括する役員、セキュリティ担当部署の役割を明確化するに当たっては、当該役割ごとに求められるタスク・スキル・知識を整理することが有効であり、その検討に当たっては、内閣官房国家サイバー統括室（NCO）「サイバーセキュリティ人材フレームワーク」及びフレームワークを実務で活用するための指針である各種手引き書（https://www.cyber.go.jp/council/csjinzai/index.html）を活用することが考えられる。

なお、各役割に対する責任の割当てについては、組織の指揮命令系統や意思決定権限等を踏まえ、自社の実態に応じて定めることが適当と考えられる。その際、中小企業等においては「小規模組織向け手引き書 2026」、大企業等においては「大規模組織向け手引き書 2026」を参考に取組を進めることが考えられる。

「セキュリティを統括する役員及びセキュリティ担当部署の役割・責任」を、どのような文書へ規定することが考えられるか？

・情報セキュリティ関連規程に記載することが考えられる。

・情報セキュリティ体制図を作成することも有効である。