01
いま、誰が攻撃してきていますか？
攻撃してくるかもしれない相手ではなく、いま実際のシステムに対して試みている相手です。
対象 · 経営者 · 取締役会 · CEO
サイバーセキュリティはITのコストではありません。
経営の課題です。
経済産業省の「サイバーセキュリティ経営ガイドライン Ver3.0」（2023年3月）は、サイバーセキュリティを 経営者が主導すべき課題と位置づけ、経営者がCISO（最高情報セキュリティ責任者）に指示すべき 重要10項目を示しています。サイバー保険でも、引受けや保険金の支払いに技術的な裏付けが求められます。 問題はもはや取り組むかどうかではなく、いつ、どのように取り組むかです。
3経営者が認識すべき原則
10CISOへの指示 · 重要項目
Ver3.0経営ガイドライン · 2023年3月
4×取締役会への年間報告
§ 01 · CISOへの10の質問
取締役会がすでに問うべき質問
CISOがこれらの質問に具体的に答えられないなら、問題はCISOではなく、 取締役会に届く情報の不足にあります。Fortgaleは、技術と経営をつなぐ対話を リスクの言葉で組み立てられるよう支援します。
02
ランサムウェアで停止したら、何日止まりますか？
生産時間、売上、失う顧客で答えてください。印象ではなく、数字で。
03
サイバーセキュリティ経営ガイドラインの重要10項目のうち、どこまで実施できていますか？
ガイドラインは、経営者がCISOに指示すべき10項目を示しています。項目ごとに現状を説明できますか？
04
バックアップは本当に機能しますか？
最後に完全な復元をテストしたのはいつですか？シミュレーションではなく、実際の実行です。
05
サイバー保険に加入していますか？実際に何が補償されますか？
以前に締結した契約では、ランサムウェアが補償対象外であったり、現在の対策では満たせない最低限の条件が付いていたりすることがあります。
06
深夜3時に起きたら、誰が対応しますか？
電話番号、担当者、言語、タイムゾーン。具体的に答えられますか？
07
業界と比べて、サイバーセキュリティへの投資は十分ですか？
IT予算に占める割合は、金融と製造業では大きく異なります。比較の基準を持たないまま、予算は判断できません。
08
重要な委託先は守られていますか？
IPA「情報セキュリティ10大脅威 2026」（組織編）では、サプライチェーンや委託先を狙った攻撃が2位です。ガイドラインの指示9も、委託先を含めた状況把握を求めています。
09
前回の取締役会から、何が変わりましたか？
脅威の動向、規制、社内の対策状況。答えが「何も変わっていない」なら、監視が機能していないということです。
10
明日、報道機関に何と説明しますか？
危機対応の広報は、インシデントの最中に考えるのではなく、事前に準備しておくものです。
印刷できるワークシートが必要ですか？ メールでお送りします →
§ 02 · 比較
SOC内製と外部のMDR
中堅企業（エンドポイント200〜500台、拠点1〜2か所）を想定した定性的な比較です。SOCを内製するには、 要員、技術基盤、インテリジェンス、検知エンジニアリング、継続性、トレーニングが必要です。 FortgaleのMDR（マネージド・ディテクション・アンド・レスポンス）は、これらをすべてマネージドサービスにまとめ、 相対的な投資額を大きく抑えます。
| 項目 | SOC内製 | FortgaleのMDR |
|---|---|---|
| シニアSOC要員 · 24時間365日 | 専任のフルタイム要員 | 含まれる · 採用不要 |
| EDR · SIEM · TIPの基盤 | 購入と運用が必要 | 含まれる · マルチベンダー |
| 脅威インテリジェンスフィード / 契約 | 追加の契約 | 含まれる · 独自のCTI |
| 検知エンジニアリング | 社内チームまたは外部コンサルティング | 含まれる · ピアレビュー済みのルール |
| 机上演習、トレーニング、資格取得 | 別予算 | 含まれる · 契約範囲に応じて |
| 継続性 · 休暇 · 離職 | 想定外の負担 30% | 軽減 · ローテーション体制 |
| 効果が出るまでの期間 | 12〜18か月 | 30日 |
| 相対的な投資額 | €€€€€ | €€ |
€€€€€ : €€の比率は、欧州の中堅企業で観測された相対的な投資額の平均を示しています。 自社の場合で比較したい方は、アナリストにご相談ください。
§ 03 · 経営ガイドライン
経営者がCISOに指示すべき重要10項目
経済産業省の「サイバーセキュリティ経営ガイドライン Ver3.0」は、経営者が認識すべき3原則と、 CISO等に指示すべき重要10項目で構成されています。下の表は、各項目とFortgaleの関連サービスを 対応づけたものです。これはFortgaleによる整理であり、ガイドラインへの準拠を示すものではありません。
| 指示 | 項目 | Fortgaleの関連する取り組み |
|---|---|---|
| 指示1 | 方針 サイバーセキュリティリスクの認識、組織全体での対応方針の策定 | 経営層向けのリスク整理とレポート（アドバイザリー） |
| 指示2 | 体制 サイバーセキュリティリスク管理体制の構築 | 役割と責任の整理、取締役会への報告ラインの設計（アドバイザリー） |
| 指示3 | 資源 サイバーセキュリティ対策のための資源（予算、人材等）確保 | SOC内製とMDRの比較、投資判断の材料の整理 |
| 指示4 | 計画 サイバーセキュリティリスクの把握とリスク対応に関する計画の策定 | リスク登録簿と四半期ごとの対応計画（アドバイザリー） |
| 指示5 | 仕組み サイバーセキュリティリスクに効果的に対応する仕組みの構築 | MDR・マネージドSOC（24時間365日の検知と対応） |
| 指示6 | 改善 PDCAサイクルによるサイバーセキュリティ対策の継続的改善 | 取締役会向けレポートでの指標の継続的な確認 |
| 指示7 | 緊急対応 インシデント発生時の緊急対応体制の整備 | インシデントレスポンス、机上演習 |
| 指示8 | 事業継続 インシデントによる被害に備えた事業継続・復旧体制の整備 | デジタルフォレンジック、復旧支援 |
| 指示9 | サプライチェーン ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握及び対策 | ASM（アタックサーフェスマネジメント） |
| 指示10 | 情報共有 サイバーセキュリティに関する情報の収集、共有及び開示の促進 | サイバー脅威インテリジェンス（CTI） |
「知らなかった」は説明になりません。
ガイドラインは法的な義務ではありませんが、サイバーセキュリティリスクを経営リスクの一つとして経営者が認識し、
組織全体の対応方針を示すことを求めています。取締役会が対策を把握し、承認していることを示せる記録が重要です。
会社役員賠償責任保険（D&O保険）がサイバー関連の不作為を補償するかどうかも、契約内容によって異なります。
§ 04 · サイバー保険
保険金が支払われるのは条件を満たした場合だけです
サイバー保険では、引受けと保険金の支払いに技術的な対策の条件が設けられています。 対策が不十分であれば、攻撃を受けたうえに補償も受けられないという二重のリスクを負います。
前提条件
多要素認証（MFA）の必須化
特権アクセスに多要素認証がなければ、多くの引受会社は契約に応じません。2026年時点の基本的な対策水準です。
前提条件
イミュータブルバックアップと復旧テスト
オフラインまたはイミュータブルなバックアップを、年1回以上テストしていること。これがない場合、新しい契約ではランサムウェアが補償対象外となることがあります。
前提条件
エンドポイントのEDR/MDR
最新の検知機能を備えたエンドポイントと24時間365日の監視。特定ベンダーの指定はありません：評価されるのはロゴではなく、カバー範囲です。
保険料の割引
年次の机上演習の記録
報告書を伴う年1回のインシデント対応演習が記録されていれば、保険料の割引対象となる場合があります。
保険料の割引
委託先のリスク管理
重要な委託先を評価する仕組み（サイバーセキュリティ経営ガイドラインの指示9に関わる取り組み）があれば、保険料の引き下げにつながる場合があります。
お客様の保険ブローカーと連携し、対策状況を技術的に説明できる形に整理します。 ご契約中の保険についてご相談ください。
§ 05 · 何が変わったか
責任の所在を変えた4つの動き
2022年から2026年にかけて、サイバーセキュリティの責任は技術チームから経営層へと移ってきました。米国の2つの事例と、日本の2つの枠組みを紹介します。いずれも、経営者に求められる注意の水準を考えるうえで参考になります。
2022年10月
米国 · 連邦地方裁判所 · カリフォルニア州北部地区
Joe Sullivan / Uber事件
Uberの元CSO（最高セキュリティ責任者）が、連邦当局に対する情報漏えいの隠ぺいで有罪判決を受けました。サイバー部門の責任者が、民事にとどまらず個人として刑事責任を問われた初めての事例です。
2023年3月
日本 · 経済産業省
サイバーセキュリティ経営ガイドライン Ver3.0
経営者が認識すべき3原則と、経営者がCISO等に指示すべき重要10項目を示しています。法的な義務ではなくガイドラインですが、サイバーセキュリティをCISOに任せきりにせず、経営者が主導する課題として位置づけています。
2023年10月
米国 · SEC（証券取引委員会） · 証券法執行
SEC対SolarWinds & CISO
SECが初めてCISO個人（Tim Brown）を、侵害発生前のサイバー対策について投資家に誤解を与える説明をしたとして直接提訴しました。開示内容とサイバー対策の実態が一致しているかが、経営の責任として問われうることを示した提訴です。
2026年10月
日本 · サイバー対処能力強化法（令和7年法律第42号）
特別社会基盤事業者のインシデント報告
2026年10月1日から、特別社会基盤事業者には、特定侵害事象やその原因となり得る事象について、所管大臣と内閣総理大臣への報告が求められます。第一報は速やかに、詳報は30日以内です。対象は指定を受けた事業者に限られますが、報告するには経営層が事実関係を把握していることが前提となります。
§ 06 · 取締役会向けレポート
取締役会へのサイバーセキュリティ報告に含めるべきこと
取締役会への四半期ごとのサイバーセキュリティ報告は、技術ではなくリスクの言葉で5つの問いに答える必要があります。以下は、Fortgaleがアドバイザリーのお客様に提供しているテンプレートです。社内のダッシュボードやSOCのレポートに合わせて調整できます。
01
リスク登録簿 · 上位5件
影響の大きい5つのリスクシナリオを、前四半期と比較した発生可能性 × 影響度で示します。傾向（悪化、改善、横ばい）、担当者、進行中の対策も記載します。1ページ、5行。取締役会の画面に5×5のマトリクスは不要です。
02
対策状況のKPI · 推移
MTTR、MTTD、多要素認証の適用率、パッチ適用SLAの達成率、EDR導入済みエンドポイントの割合。取締役会が承認した目標値のある指標だけを、業界の比較指標とあわせて示します。目盛りのない信号表示ではなく、数字で。
03
四半期のインシデント
件数、深刻度、検知と封じ込めにかかった時間、業務への影響。重大度が高い、または重大なインシデントごとに、教訓と是正措置（完了または予定）を記載します。インシデントがゼロの場合も報告します。それも一つのデータです。
04
規制・ガイドラインへの対応状況
個人情報保護法、サイバーセキュリティ経営ガイドライン、業界ガイドライン（金融庁、厚生労働省など）、ISO 27001、該当する場合はサイバー対処能力強化法。未対応の項目を、期限、担当者、対応しない場合に残るリスクとともに示します。進行中の監査や検査とその対応状況も含めます。いま取締役会として何を承認できるか。
05
投資 · 次の四半期
予定しているサイバーセキュリティの設備投資と運用費、簡潔な事業性評価（低減するリスク・コスト・ROI）、脅威インテリジェンスから見て臨時の投資が必要となる新たな脅威。取締役会に求める判断を、選択肢と推奨案とともに示します。
+
付録 · 脅威ブリーフィング
その四半期に自社の業界を狙う可能性が最も高い3つの脅威アクターのプロファイルを、観測されたTTPと現在の検知カバー範囲とともに示します。取締役会が統制策だけでなく、攻撃者そのものを理解できるようにします。詳しく知りたい方向けに技術資料を添付することもできます。
現在の対策状況をもとに、最初の取締役会向けレポートを作成しましょうか？ こちらからご依頼ください。次回の取締役会までにお届けします。
取締役会向けブリーフィング
取締役会のための45分間のブリーフィング
技術ではなくリスクの言葉で。リスク登録簿、対策状況、経営ガイドラインの重要10項目、保険の補償範囲。そのまま報告に使える形でお渡しします。