CISOとは？役割・仕事内容とPマーク担当者との違いをわかりやすく解説
Pマーク
CISOとは「Chief Information Security Officer」の略で、日本語では一般的に「最高情報セキュリティ責任者」と呼ばれます。
会社全体の情報セキュリティ方針やリスク管理について責任を持つ役割です。
Pマークを取るためにCISOの設置は必須？
CISOという役職そのものを置くことがPマーク取得の必須条件というわけではありません。
一方、個人情報保護管理者などを定め、誰が責任を持ってPMSを運用するのかを明確にする必要があります。
中小企業ほど「経営者の関与」が重要
よくある問題が、
「総務担当者がPマーク担当になったが、社内の誰も協力してくれない」
というケースです。
アクセス権限の変更、クラウドサービスの利用ルール、委託先管理などは、担当者だけでは決められないことがあります。
そこで必要なのが経営者からの権限付与です。
CISO的な役割を意識する
専任CISOを置けない中小企業であっても、
重要な情報セキュリティ方針は経営者が決定する
担当者に必要な権限を与える
重大事故は経営者へ直接報告する
定期的にリスクと対策状況を確認する
という体制を作ることは可能です。
情報セキュリティはIT担当者だけの問題ではなく、経営上のリスク管理の一つです。
Pマークを「総務担当者だけの仕事」にしないことが、無理なく運用を続けるポイントです。
CISOの主な仕事とCIOとの違い
CISOはセキュリティ方針、リスクの優先順位、対策予算、事故への備えを経営判断につなげます。CIOはIT活用や情報システム全体を統括する役割で、企業によって両者の分担や兼務の形は異なります。
Pマーク担当者・個人情報保護管理者との関係
Pマークの実務担当者が台帳や教育を取りまとめても、重要な判断を一人で背負う構造にはしません。個人情報保護管理者はPMSを推進し、CISO等のセキュリティ責任者や各部門と連携します。事故時に誰がシステム対応、対外説明、経営判断を行うかを決めておきます。
中小企業での体制づくり
経営者を意思決定者、管理者を実行の統括者、各部門を現場の確認者として、月次の課題共有と緊急連絡を設ける方法があります。内部監査は自らの業務を自ら監査することにならないよう独立性に配慮し、兼務が難しい部分は外部の知見も検討します。
参考情報
Column
Pick Up
記事がありません