2つの基本的認識

<①挑戦>

サイバーセキュリティは、利益を生み出し、ビジネスモデルを革新するものであり、新しい製品やサービスを創造するための戦略の一環として考えていく必要がある。

<②責任>

すべてがつながる社会において、サイバーセキュリティに取組むことは社会的な要求・要請であり、自社のみならず社会全体の発展にも寄与することとなる。

3つの留意事項

<①情報発信による社会的評価の向上>

• セキュリティ対策を、仕方なくやるものではなく、企業価値を高め、品質向上に有効な経営基盤の一つとして位置付けることが必要。
• サイバーセキュリティに関する取組や方針を情報発信することによって、関係者の理解を深め、社会的評価を高めることができる。

<②リスクの一項目としてのサイバーセキュリティ>

• 提供する機能やサービスを全うする（機能保証）という観点から、リスクの一項目としてのサイバーセキュリティの視点も踏まえ、リスクを分析し、総合的に判断。
• 経営層のリーダーシップが必要。

<③サプライチェーン全体でのサイバーセキュリティの確保>

• サプライチェーンでつながるどこかの企業のセキュリティ対策が不十分だと、そこから自社の重要情報が流出してしまうなどの問題が起きる可能性がある。そのため、サプライチェーン全体で一定レベルのサイバーセキュリティの確保が必要。
• 一企業のみでの対策には限界があるため、関係者間での情報共有活動への参加などが必要。

「理想的に」レベル

［分類1］ITの利活用を事業戦略上に位置付け、サイバーセキュリティを強く意識し、積極的にITによる革新と高いレベルのセキュリティに挑戦する企業

「もっと積極的に」レベル

［分類2］IT・サイバーセキュリティの重要性は理解しているものの、積極的な事業戦略としての組み込みはできていない企業

対策

ITを積極的に活用してビジネスの展開を目指すことが重要であり、攻めのIT投資に関する取組を行うことです。

「無駄な投資」レベル

［分類3］過剰なセキュリティ意識により、ITの利活用を著しく制限し、競争力強化に活用させていない企業

対策

リスクを再評価して、サイバーセキュリティ対策が過剰になっている部分については見直しを行うことが必要です。

「危険」レベル

［分類4］サイバーセキュリティ対策の必要性は理解しているが、必要十分なセキュリティ対策ができていないにもかかわらず、ITの利活用を進めている企業

対策

情報セキュリティポリシーの策定と実践が必要であり、まずはサイバー攻撃を受けたときのための緊急時対応用マニュアルを作成すべきです。

［分類5］サイバーセキュリティの必要性を理解していない企業や、自らセキュリティ対策を行う上で事業上のリソースの制約が大きい企業

対策

コストがあまりかからない最低限のセキュリティ対策から実施することが重要であり、たとえば「情報セキュリティ5か条」の対策を行うべきです。

「対象外」レベル

［分類6］ITを利用していない企業