経済産業省のサイバーセキュリティ経営ガイドラインは、セキュリティを「コスト」ではなく「経営への投資」と位置づけ、経営者がリーダーシップをとって対策を進めるべきとしています。経営者がすべての技術を理解する必要はありませんが、方針・体制・予算・事故時の判断は経営者の役割です。
経営者が認識すべき3原則（要旨）
- セキュリティ対策は経営者がリーダーシップをとって進める
- 自社だけでなく、取引先や委託先を含むサプライチェーン全体の対策に目を配る
- 平時・緊急時を問わず、関係者と積極的にコミュニケーションをとる
担当者に指示すること（重要10項目の考え方）
- リスク管理の体制を作る（責任者・担当を決める）
- リスクを把握し、対策の計画を立てる
- 必要な予算・人材を確保する
- 防御だけでなく、検知・対応・復旧の仕組みを作る
- 事故時の対応体制（CSIRTなど）と復旧計画を整え、訓練する
- 委託先・取引先の対策状況を把握する
- 情報共有の活動に参加する
事故が起きたとき、最終的な判断は経営者にしかできません。公表・取引停止・身代金の要求への対応など、事前に判断の基準を決めておきましょう（対応計画）。