世界的な潮流としてITセキュリティの内部統制が求められている（イメージ：写真AC）

米国と日本で言葉使いが違うのはなぜ？

アメリカの証券取引委員会（SEC）が 2024 年度に実施に踏み切るForm 8-k item1.05（臨時報告書）を含む一連のサイバーセキュリティへの取り組みと報告義務の内容は、激しい議論を経て、アメリカの上場企業（SEC参加企業）に少なからずの衝撃を与えています。

日本でも、時を同じくしてJ-SOX改訂が実施されることは、すでにこのコラムで触れました（第25回、第27回）。その J-SOX改訂のポイントの一つにも、情報セキュリティの確保が示されています。

「Form 8-k item1.05 を含むサイバーセキュリティへの取り組み」とは、上場企業が、サイバーセキュリティに関する重大なインシデントが発生した際、その内容、時期、財務や経営に与える影響などを「4営業日以内」に臨時報告書 Form 8-kとして提出、開示することです。

他の Formでは、年次報告として、サイバーセキュリティの取り組みに対するガバナンスやマネジメント、担当役員のサイバーセキュリティに対する経歴（職歴、学歴、スキル等）なども報告しなければなりません。

ところで、アメリカのSECが示す枠組みは「サイバーセキュリティ」、日本のJ-SOXは「情報セキュリティ」と言っています。この違いは何でしょうか。

「情報セキュリティ」の範囲は広く、サイバー要素以外の人的なソーシャルエンジニアリング、紙媒体や他のメディア媒体の情報管理なども含まれる（イメージ：写真AC）

些細な言葉の使い方だと、プロでも気に留めない方々もおられます。意味合いからしても、情報セキュリティの範囲は広く、サイバー要素以外の人的なソーシャルエンジニアリング、紙媒体や他のメディア（USBやHDD／SSD）媒体の情報管理、ゾーンセキュリティなども含まれているので、何も「サイバー」として範囲を狭めなくとも「情報セキュリティ」と言っておけば、サイバーセキュリティは包含されるので、問題ないはずと、多くの人は考えています。

ただ、それは誰もがわかっていることです。なぜ SECは「サイバーセキュリティ」で、金融庁は「情報セキュリティ」なのか。

日本は中堅国と比較しても、上場企業のDX／AI、デジタル化が遅れ、IT活用の範囲も狭いことが指摘されています。上場企業が果たすべきリスクマネジメントの優先度設定において、情報セキュリティという範囲の広い言葉が項目としては挙がっているものの、その中のサイバーセキュリティについては具体的な対応項目が表に出なくなっています。

「情報セキュリティ」は言葉の意味する範囲が広いゆえに、簡易にできる対策の導入に経営の目が行き、それを現場が選択してしまうという問題がある（イメージ：写真AC）

つまり、情報セキュリティの枠内で簡単にできること、予算がかからず人的スキルを要求しない簡易なシステムの導入に経営の目が行き、それを現場が選択してしまう。このことが非常に問題だと考えます。日本の上場企業はいまだに印鑑を押した紙を流通させ、USBを使い、人的な情報犯罪に対するシステム的なチェック体制も甘い、そう筆者は思っています。

アメリカのSECがサイバーセキュリティに固執しているのは、情報セキュリティ全体の枠組みの中で、特にサイバーセキュリティを優先させて対応している姿勢をステークホルダーに示せ、また対応している証拠を示せと言っているわけです。

 

米国はあくまで「サイバーセキュリティ」の統制

ITと情報セキュリティの取り組みにおいて、企業に共通の悩み事としてまず挙げられるのは、そのカバーすべき範囲が広大だということです。あれもこれも、誰も彼も、至るところでこの二つの経営管理項目に対処しなければならない。限られた人材や予算のなか、当然ながら、こぼれ落ちて対応できない部分も出てきます。しかし、経営は興味を示さない…。

これは日米とも共通の悩みでありながら、アメリカの金融を司るSECなどの機関では、他の情報セキュリティの対応に優先してサイバーセキュリティに対応させるために、制度改革を行っていると考えるべきです。

この SEC の取り組みの特徴は、企業のサイバーセキュリティに対して「統制」を要求していることです。ここで言う「統制」とは、下記のとおりです。

1.サイバーセキュリティの取組ポリシーを設定

2.確かなスキルと経験豊かな役員を責任者として設定

3. CSIRT（インシデント追跡チーム）を含む高スキルな管理職、担当者による対応部門を設置

4.サイバーセキュリティに対する厳格なリスクマネジメントと財務・事業影響度分析を実施

5.内部不正を含む社内外（クラウドなど委託先を含む）のシステムの脆弱性を把握し、十分な予算を持って侵入や攻撃への対応策をヒト、カンキョウ、システムのそれぞれで適用

6. 3線モデルとして①現場（利用者、従業員、役員）の情報端末等のセキュアな操作やリスクとリスク対策、またインシデント発生に対する対処方法やエスカレーションなど教育研修を徹底

7. 3線モデルとして②当該部門がサイバーセキュリティに対するマネジメントシステム（基本方針、責任者・組織化、分析、対策、文書化、教育・訓練、PDCA）を構築し運用

8. 3線モデルとして③経営陣はガバナンスとしてサイバーセキュリティに対する内部監査を実施し、外部ガイドラインの準拠性を求め、常にサイバーセキュリティを重要な経営管理項目として監視していくこと

統制とは、経営陣がサイバーセキュリティに対し、自らリーダーシップ、スポンサーシップを取って取り組むことを指しています。上記の3線モデルをして、この統制の仕組みを確実に内包しておくよう強制力を持たせたいわけです。

 

「サイバーセキュリティ」への意識が低い日本

SEC参加企業の場合はさらに、インシデント発生後、4日以内に臨時報告書（Form 8-k）を出す体制も準備しておかなければなりません。この4日以内提出ルールは、非常にハードルが高いことは言うまでもありません。

例えば、インシデント発生初日に、どこからどのように攻撃されたか、影響範囲がどこまでなのかなど、攻撃の状況を正確に把握し、2日目に原因究明と再発防止策を策定し、3日目に臨時報告書草案をつくり、関係者でレビュー、経営の承認を受け、4日目に報告・開示というマイルストンが必要となります。

通常、日本のIT系の上場企業でさえ、攻撃と影響範囲の把握に1週間程度、原因究明と再発防止策でさらに3日、臨時報告書作成に社内レビューでさらに3日、早くて2週間後に提出というのがやっとではないでしょうか。

つまり、このようなインシデントが発生することを前提に、必要なチェックを最低限にとどめるなど、臨時報告書を策定するまでの筋道を立て4日で提出可能な仕組みをつくっておく必要があるということです。この4日で報告書を提出させるところに、統制が実現できているかのチェックポイントがあります。

サイバー攻撃は国家間の戦争に匹敵するとも言われ、世界共通に、暗号資産を含む金融機関、製造業、リテラシーの低い業界（医療・病院、食品業、小売業など）が徹底的に標的にされ狙われています。犯罪者たちは防御側よりも賢いAIを活用しようとするでしょうし、AI対AIの戦いでもあります。

日本の企業は「情報セキュリティ」には取り組んでいるも「サイバーセキュリティ」のリテラシーは低い（イメージ：写真AC）

日本の上場企業におけるランサムウェアの被害による復旧費用は、平均3億円と言われていますが、他先進国と比較しても大きい数字です。これもITやサイバーセキュリティへの投資（ヒト、カンキョウ、システム）を怠ってきたツケとも言えますが、それでもなおアメリカのSECの取り組みを日本の J-SOXがすぐに適用するかは、残念ながら期待薄です。

なぜなら日本の場合、国・自治体、社会、国民、企業、投資家などすべての層がサイバーセキュリティに対して低リテラシーであり、上場企業のサイバーセキュリティにする取り組み状況の拙さに違和感を覚えない体質であることが大きな要因です。ランサムウェア攻撃を受けた企業の株価は、直後下がりますが、半年後、回復していると言われています。株主総会でも、ほとんど株主からの質問の対象になっていないかもしれません。

今年の上場企業の株主総会で、株主質問をする予定の方は「情報セキュリティでなく、サイバーセキュリティに対する”統制”としての取り組みを教えてください。」と質問してみてはいかがでしょうか。意識の高い上場企業が、有価証券報告書にサイバーセキュリティ統制に対する取り組みを記述するようになることを期待します。