はじめに
昨今のグループ企業や協力会社を発端としたセキュリティインシデントのニュースを見かけることが多いかと思う。いろいろな企業でセキュリティ対策を行っているにもかかわらず、セキュリティインシデントが発生しているのはなぜだろうか。それは情報セキュリティやITでのセキュリティ対策を行い統制しているが、全ての範囲で統制がかかっていないことが大きな要因だろう。また、コロナ禍に端を発した働き方の変革に新たなセキュリティガバナンスが対応し切れていないことも一つの要因だと考えられる。本連載では、今までの「情報セキュリティガバナンス」や「ITガバナンス」の中でもセキュリティ対策に関わる部分を全社的・グローバルに、かつスピーディーに企業へ展開できるガバナンスモデルを記載する。
ガバナンスという言葉をよく耳にする機会があると思う。ガバナンス（Governance）は「統治・支配・管理」を意味する言葉であるが、「ITセキュリティガバナンス」とは一体どういうものかを説明していく。
ガバナンスとは？
いきなりITセキュリティガバナンスを説明するのではなく、まずは企業においてどの視点でガバナンス（統制・統治）を行っているかを理解していく必要がある。
コーポレートガバナンス：
企業において経営の健全性を管理・監督する仕組み。上場企業の場合は、金融庁や東京証券取引所などがガバナンスの導入を求めている項目になる。
情報セキュリティガバナンス：
コーポレートガバナンスの一環として、企業内における情報セキュリティの内部統制の仕組み。情報セキュリティのため、IT以外の要素も含まれている。国際標準として「ISO/IEC 27014」にて定義されている。
ITガバナンス：
情報セキュリティガバナンスと同様にコーポレートガバナンスの一環として、企業におけるITの内部統制の仕組み。国際標準としてISO/IEC38500にて定義されている。
これらを見て分かるように、ガバナンスはいろいろなエリアで企業に適用されている。では、今回の「ITセキュリティガバナンス」とは一体どういったものかを説明しよう。
ITセキュリティガバナンスとは？
簡潔に言えば、「情報セキュリティガバナンス」と「ITガバナンス」の中間に位置付けられるガバナンスであり、「ITエリアにおける情報セキュリティのガバナンスの仕組み」と位置付けられる。
多くの企業で、情報セキュリテイガバナンスやITガバナンスが導入されているだろう。ただ、対応が必要な項目が多く、全ての項目を網羅したガバナンスが効いていない企業も多く見受けられる。また、グループ会社・子会社を持つ企業であれば、なおさらガバナンスの浸透が難しいようである。
ITセキュリティガバナンスでは、IT視点での情報セキュリティガバナンスのみに焦点を当て、企業およびグループ会社・子会社に対してガバナンスを浸透させていくために準備したものである。
