これは“とっつきやすい”かも！ オランダ版「サイバーセキュリティ経営ガイドライン」が日本のものと比べてかなりコンパクト

　オランダのサイバーセキュリティ評議会（Cyber Security Raad、以降「CSR」）は8月、あらゆる組織の取締役（director）や経営者（business owner）、監査役会（supervisory board）メンバーを対象としたサイバーセキュリティガイドの英語版「Guide to cyber security for directors and business owners（取締役および事業主のためのサイバーセキュリティガイド）」を公開しました。これは、6月に公開されたオランダ語版を英語に翻訳したもので、対象となる組織は、規模の大小や官民を問いません。

　日本でも経済産業省と情報処理推進機構（IPA）が策定した「サイバーセキュリティ経営ガイドライン」が2015年から提供されており、本稿執筆時点の最新版としてバージョン3.0（英語版もあり）が公開されています。今回オランダから公開されたガイドも、趣旨としては基本的に同様のものと捉えて差し支えないでしょう。ただし、日本のものと比べてかなりコンパクトな仕上がりになっています。

　なお、CSRはオランダ政府および経済界による国家レベルの独立諮問機関であり、官民双方の組織および科学界の高位の代表者から構成されており、オランダのサイバーセキュリティ強化を担っています。

　ところで、EUではサイバーセキュリティに関する規制として、「NIS（Network and Information Systems Directive）2」や「DORA（Digital Operational Resilience Act）」が知られていますが、NIS2は重要インフラ事業者などの主要事業体や重要事業体のみを対象とし、DORAは金融業界のみを対象としています。これに対し、今回公開されたガイドは、NIS2やDORAなどの規制の対象とならない組織にも役立つように作られています。

　また、このガイドはオランダの観点から作られているため、オランダの法律を参照していますが、紹介されている知見自体はオランダ以外でも広く適用可能であるとしています。実際に内容には普遍性があり、日本の企業や組織でも十分に役立つ情報が掲載されています。

　そこで今回はこのガイドから一部を抜粋して簡単に紹介します。なお、このガイドでは「director（取締役）」という単語を、単に取締役の意味だけでなく、経営者や監査役会メンバーも含めた意味で使っています。

　このガイドは、表紙や目次、謝辞、付録などを含めてPDFで全23ページ、見開き2ページでPDFの1ページにまとめられており、本文自体の正味は20ページ弱。パンフレットに近いイメージで非常にコンパクトにまとめられており、以下のような構成となっています。なお、本文の各項目は最大で2ページ半、ほとんどの項目は2ページ以内に収まっており、半ページのみの項目もあります。

　この中からまず「4. あなたは取締役としてどのような質問をすべきですか？」を紹介します。ここでは、最初に取締役が自分自身および共同取締役（co-director）に問うべきこととして、以下の8項目が挙げられています。

　また、取締役として、最高情報セキュリティ責任者（CISO）に投げ掛けるべき具体的な質問については、国家サイバーセキュリティセンター（Nationaal Cyber Security Centrum、以降「NCSC」）が提供している「取締役がCISOに尋ねるべき質問リスト」を指針として紹介しています。

• Nationaal Cyber Security Centrum（国家サイバーセキュリティセンター）
  Vragen die je als bestuurder kunt stellen aan de CISO（取締役としてCISOに尋ねるべき質問） ※オランダ語
  https://www.ncsc.nl/wat-kun-je-zelf-doen/weerbaarheid/besturen/vragen-voor-bestuurder-aan-ciso

　その重要な質問の例として以下の17項目を挙げています。

　そのうえで取締役に対しては、これらの質問への回答に加えて組織内外における主要なサイバーインシデントや新たな脅威、規制の動向に関する状況報告を定期的（四半期ごと）に受け取る必要があるとしています。また、同時にCISOに対しては、リスク状況を大きく変えるような展開（好転・悪化を問わず）があれば、それを明確化し、適切な対策とリソースを提案する必要があるとしています。

　次に「付録3：取締役向けチェックリスト」を紹介します。ここでは以下の8項目が挙げられています。

　ここで、KCI（Key Control Indicators：重要コントロール指標）については「5. サイバーリスクを効果的に軽減するために優先順位をつけてください」で具体例を挙げて紹介しています。また、CISOに対する質問については、先ほど紹介した「4. あなたは取締役としてどのような質問をすべきですか？」を参照してください。

　日本の「サイバーセキュリティ経営ガイドライン」がかなりびっしりと文字で埋められた「重い」文書であるのに対し、今回のオランダのガイドは比較にならないほどコンパクトに簡潔にまとめられており、圧倒的に「とっつきやすい」ものに仕上がっています。ただし、これはオランダのガイドの方が優れているという意味ではなく、アプローチの仕方が異なるに過ぎないことに注意してください。また、「とっつきやすい」とは言っても、ICTに関する知識をまったく持ち合わせていない経営者でも問題なく読めるレベルの内容かは微妙なところで、経営者によっては解説する人が必要かもしれません。

　それでも、経営層がすべきことは具体的に書かれていますし、普遍性がある内容なので、日本の企業や組織にも十分に参考になるところがあるのは間違いありません。英語で書かれているという言語の壁はあるかもしれませんが、自組織の経営層が日本の「サイバーセキュリティ経営ガイドライン」の前に最初に触れる「読み物」として使える部分があるか、まずは検討してみるだけでも価値はあるでしょう。