【情報セキュリティマネジメント】情報セキュリティガバナンスと組織体制、分かれ目は「決める人か、実施する人か」｜経営陣・責任者・委員会・実務部門

2026.08.27

情報セキュリティは、情報システム部門だけに任せて完結するものではありません。

どの情報・業務を優先して守るか、どの程度のリスクを受け入れるか、どこへ人員・予算を配分するかには経営の関与が必要です。一方、経営陣が日々の機器設定やログ確認を自ら行うことが、ガバナンスの中心でもありません。

この記事では、経営が方向を示し、実務側が実施し、その結果を経営へ戻すという流れから、情報セキュリティガバナンスと組織体制を整理します。

読み終えるころには、事例に出てくる判断が経営陣・責任者・実務部門のどこで決めるべきものかを切り分け、権限を超える事項を誰へ上申すべきかを判断できるようになります。

先に結論：経営は方向付けと監督、実務側は具体化と実施

役割 主な仕事
経営陣・統治を担う者 状況を評価し、方針・優先順位・リスク基準を方向付け、必要な資源と役割を定め、実施状況を監視する
情報セキュリティ責任者 経営の方向性を施策へつなぎ、部門を調整し、重要事項を報告・上申する
情報セキュリティ委員会など 部門横断の課題を審議・調整し、委任された範囲で判断する
管理部門・実務部門 方針・権限に従って管理策を実施し、結果・課題・残留リスクを報告する
従業者 規程・手順を守り、異常・事故・例外を定められた経路で報告する

経営から現場へは方針・基準・資源・権限が伝わり、現場から経営へは実施結果・問題・残留リスク・改善提案が戻ります。

方向付けだけでも、報告だけでも不十分です。経営判断と実施結果が循環しているかを見ます。

1．情報セキュリティガバナンスとは

SGシラバスVer.4.1は、情報セキュリティガバナンスの用語例としてJIS Q 27014を挙げています。

JIS Q 27014:2015は、経営陣が情報セキュリティを統治するためのガバナンスプロセスとして、次の五つを示しています。

プロセス 内容
評価 現在と予想される達成度を考慮し、必要な調整を決める
指示 実施すべき情報セキュリティの目的・戦略について指示を与える
モニタ 経営陣が戦略的目的の達成を評価できるようにする
コミュニケーション 利害関係者と情報セキュリティに関する情報を交換する
保証 独立した立場からの客観的な監査・レビュー・認証を委託する

「保証」は、経営陣が自ら監査するのではなく、独立した立場へ委託する点が特徴です。

なお、対応国際規格は版が進んでおり、ISO/IEC 27014:2020では保証を含まない四つ（評価・方向付け・監視・コミュニケーション）で整理されています。シラバスが挙げているのはJIS Q 27014のため、この記事では五つを基準とします。

試験では、ガバナンスを個別の技術対策そのものと考えないことが重要です。

  • どの情報・業務を重視するか
  • どの程度のリスクを許容するか
  • 人員・予算をどこへ配分するか
  • 重大な問題を誰が判断するか
  • 対策が事業目的に沿って機能しているか

といった、組織全体の方向と判断基準に関わる事項を扱います。

2．ガバナンスとマネジメントを分ける

観点 ガバナンス マネジメント
中心 何を重視し、どこまで許容し、結果をどう監督するか 決められた方向を、どの施策・手順で実現するか
活動 評価、指示、モニタ、コミュニケーション、保証 計画、実施、測定、報告、改善
主な担い手 経営陣・統治を担う者 責任者、管理者、実務部門

この区分は、試験で役割を見分けるための整理です。全ての組織へ同じ二層の組織図や同じ役職名を要求するものではありません。

3．経営陣の役割

経営陣は、情報セキュリティを担当部署へ丸投げせず、組織としての方向性と判断基準を示します。

主な役割は次のとおりです。

  • 情報セキュリティ方針・目的を事業目的と整合させる
  • 必要な人員・予算などの資源を確保する
  • 役割・責任・権限・報告経路を明確にする
  • 組織としてのリスク基準や重要事項の承認基準を定める
  • 重大なリスク・例外・投資を判断する
  • 実施状況や改善状況を監督する
  • 情報セキュリティの重要性を組織へ伝える

実務を委任しても説明責任はなくならない

ログ監視、設定変更、脆弱性対応、教育の実施などは、通常は担当部門へ委任できます。

しかし、実務を委任したことで、ISMSの有効性や経営上の判断に対する経営陣の説明責任まで移るわけではありません。

「担当部門へ任せたので、経営陣は結果を形式的に確認するだけでよい」という考え方は不適切です。

全ての個別リスクを経営陣が直接受容するとは限らない

経営陣は、組織全体のリスク基準や委任範囲を定めます。

個別の残留リスクは、定められたリスク所有者や責任者が、権限の範囲内で受容を判断する場合があります。受容基準を超える重大事項や、大きな事業影響・投資を伴う事項は、所定の上位判断へ上申します。

「全て経営陣が決める」でも「担当者が自由に決める」でもなく、基準と権限を見ることが重要です。

4．経営陣と技術作業の関係

ファイアウォールの設定変更、アラートの一次分析、パッチ適用などは、通常、専門知識と実務権限を持つ担当者が行います。

これらの作業を経営陣が自ら行うことが、ガバナンスの役割そのものではありません。

ただし、小規模組織では経営者が実務を兼ねる場合があります。その場合でも、

  • 経営者として方向付け・資源配分・監督を行う役割
  • 実務担当者として承認済みの手順に従って作業する役割

を分けて考えます。

5．役割・責任・権限を明確にする

「担当者を決める」だけでは不十分です。

項目 確認すること
役割 何を担当するか
責任 どの活動・結果に責任を持つか
権限 何を決定・承認・実施できるか
報告・上申 誰へ報告し、どの条件で上位判断を求めるか
代行 不在時に誰が代行するか

責任だけを与えて権限がなければ対応が遅れます。逆に強い権限だけを与えて報告・確認の仕組みがなければ、独断的な処理につながります。

6．情報セキュリティ責任者と委員会

情報セキュリティ責任者は、経営の方向付けと実務部門の活動をつなぐ役割を担います。組織によってCISO、担当役員、統括責任者など名称・権限は異なります。

主な役割は、全社施策の取りまとめ、部門間調整、リスク・インシデント・対策状況の経営への報告、権限を超える事項の上申などです。

情報セキュリティ委員会などの会議体は、部門横断の課題を審議・調整するために利用されます。ただし、同名の委員会を全組織が必ず設置するわけでも、委員会が常に最終決定者になるわけでもありません。

規程や委任に応じて、提案、調整、承認、上申、実施状況の確認などを担います。

7．内部統制との関係

情報セキュリティガバナンスは、組織全体の統治や内部統制と切り離して考えるのではなく、整合させます。

例えば、承認、職務分離、記録、照合、報告、監視といった仕組みは、情報セキュリティでも重要です。

一方、内部統制が存在するだけで、情報セキュリティ固有のリスク評価、アクセス管理、インシデント対応などが不要になるわけではありません。

内部統制そのものの目的・構成要素やITへの対応は「内部統制とITガバナンス」の記事で扱います。

8．科目Bでの使われ方

科目Bでは、組織図の暗記ではなく、その判断をその人が決めてよかったかを問う形で使われます。

事例文の合図 確認すること
担当部門へ任せているので経営陣は報告を受けるだけでよい 実務は委任できても説明責任は残っていないか
情報システム部門の判断で例外利用を認めた 定められたリスク基準・権限の範囲内か
委員会で決まったことなので実施した その委員会に決定権限が委任されているか
担当者を決めたので体制は整った 責任だけでなく権限・報告経路・代行まで決まっているか

担当者としては、権限の範囲内で処理できる事項か、上位判断へ上申すべき事項かを、組織のリスク基準と委任範囲に照らして切り分けます。判断に迷う場合や、定められた基準を超える場合は、独断で処理せず所定の上位者へ報告します。

9．判断の順序

  1. 方針・目的・リスク基準の判断か確認する

組織全体の方向に関わるなら、経営陣・統治を担う者の関与を考えます。

  1. 部門横断の調整か確認する

情報セキュリティ責任者や委員会の役割を考えます。

  1. 承認済み手順に沿う日常実務か確認する

実務部門の権限内で処理できるかを見ます。

  1. 定められた権限・リスク基準を超えるか確認する

超える場合は所定の上位者へ上申します。

  1. 結果が経営へ戻っているか確認する

実施、報告、監視、改善が循環しているかを見ます。

よくある取り違え

誤った理解 正しい整理
情報セキュリティは情報システム部門だけの仕事 経営、責任者、事業部門、従業者が役割を分担する
実務を委任すれば経営陣の説明責任も移る 実務は委任できるが、経営上の説明責任は残る
経営陣は技術作業をしてはいけない 技術作業はガバナンスそのものではない。兼務時も役割を分ける
全ての個別リスクを経営陣が直接決める 基準と委任範囲に従い、権限者が判断できる場合がある
委員会は必ず設置し、全てを最終決定する 会議体の名称・権限・決定範囲は組織によって異なる
内部統制があれば情報セキュリティ固有の管理は不要 内部統制と整合させつつ、固有のリスク・管理策も扱う

まとめ

  • 情報セキュリティガバナンスは、評価・指示・モニタ・コミュニケーション・保証の五つのプロセスで情報セキュリティを統治する考え方
  • 経営陣は方針、目的、リスク基準、資源、役割、監督に関与する
  • 実務を委任しても、経営陣の説明責任まで移るわけではない
  • 個別リスクの判断では、組織の基準と委任された権限を確認する
  • 技術作業と統治上の役割は分けて考える
  • 責任者は経営と実務をつなぎ、委員会は部門横断の審議・調整に利用される
  • 役割・責任・権限・報告・上申を明確にする
  • 内部統制と整合させながら、情報セキュリティ固有のリスクを管理する

関連記事

  • C3-T02：情報セキュリティポリシーと諸規程
  • C3-T03：ISMSとJIS Q 27001・27002
  • C3-T04：管理策の3つの軸を整理する
  • C3-T05：ISMSのPDCAと運用
  • C3-T06：内部監査とマネジメントレビュー
  • C3-T07：セキュリティ対応組織と外部機関
  • C5-T06：アクセス制御と権限管理
  • C10-T06：内部統制とITガバナンス
  • C11-T04：経営管理と情報セキュリティ責任者の役割

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

  • IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
  • 日本規格協会「JIS Q 27014:2015 情報技術―セキュリティ技術―情報セキュリティガバナンス」
  • ISO「ISO/IEC 27014:2020 Information security, cybersecurity and privacy protection — Governance of information security」
  • ISO「ISO/IEC 27001:2022 Information security management systems — Requirements」
  • 経済産業省・IPA「サイバーセキュリティ経営ガイドライン Ver3.0」

関連する問題

コメント

タイトルとURLをコピーしました