経済産業省は3月31日、企業における情報セキュリティガバナンスのあり方に関する研究会の報告書を公表した。同研究会は2004年9月から開催されていたものだ。
情報セキュリティガバナンスとは、情報セキュリティに関するコーポレートガバナンス（企業統治）と、それを支える内部統制の仕組みを企業内に構築し、運用することを指す。
顧客情報の漏洩や金融機関のシステムトラブルのように、1社のIT関連トラブルが社会全体に波及する事例が増えている。このため、企業は社会全体への影響も考えた情報セキュリティ対策が必要となる。しかし一方で既存の情報セキュリティへの対策は企業価値に必ずしも直結しないこと、またIT関連トラブル発生時のリスクが明確でないことなどから企業の取り組みが進んでいなかった。
報告書では企業のセキュリティ対策を強化するため、1）情報セキュリティ対策実施状況を把握するための自己診断ツール「情報セキュリティ対策ベンチマーク」、2）企業が情報セキュリティ対策にどれだけ取り組んでいるかを示すための「情報セキュリティ報告書モデル」、3）IT関連の事故が起きたことを想定した事業継続計画（BCP）の策定手順や検討項目を開設したガイドライン「事業継続計画策定ガイドライン」--の3つを作成することを提言している。
情報セキュリティ対策ベンチマークは情報セキュリティ対策の実施状況に関する評価項目（25項目）と、企業プロフィールに関する評価項目（15項目）からなる。これにより、その企業に望まれるセキュリティ対策レベルと達成度合いが表示され、どういった取り組みをすべきかがわかるようになる。
情報セキュリティ報告書モデルは、企業の情報セキュリティの取り組みを対外的に公表するための報告書について、記載項目を定めたもの。この報告書を顧客が購買活動の判断として利用できるほか、格付け機関は分析材料として活用できる。
事業継続計画策定ガイドラインは事故が起こった際でも事業を継続させられるように、BCPに関する基本的な考え方や具体的な計画の構築手順を説明している。担当者が企業内で説明しやすいよう、ベストプラクティス事例なども盛り込んでいる。
経済産業省では今後、上記3つの施策ツールの利活用を促進するため、情報セキュリティ対策ベンチマークを利用した自己診断サイトの開設や、政府調達における入札基準への活用などについて検討していく。また、第三者機関による情報セキュリティ報告書の格付けなど、企業における情報セキュリティ対策が市場に評価されるような仕組みの推進を期待するとしている。
