【情報セキュリティ分科会開催レポート】セキュリティ組織文化の醸成に向けた実践的手法～AI時代のサバイバーセキュリティにおけるレジリエンス力強化策～

2026年7月17日（金）

生成AI活用が予想以上に進む一方、シャドーAIや情報漏洩リスクへの対応に苦慮している企業もおありだと思います。この状況に対し、技術的対策だけでは限界を迎えつつある今、求められるのはセキュリティを組織文化として根付かせる経営視点の転換であると考えました。

「ルールで縛る」から「良い行動を増やす」へ​

　「禁止事項を増やす」「違反を罰する」といった従来型の管理だけでは限界があります。代わりに、うまくいっている行動を増やす、良い実践を共有する、  学習し続ける組織を作る、という考え方が、想定外の事象への対応力を高めるための行動例です。

セキュリティ文化の醸成がレジリエンスの鍵

ヒューマンエラーは個人の責任ではなく、組織全体の課題として捉えるべきです。安全文化を構成する要素として、

• 報告する文化（細かいエラー、未然に防いだ例なども正しく報告）

• 公正な文化（賞罰は公正に）

• 柔軟な文化（通常は中央集権でインシデント時は権力分散に柔軟に切り替え）

• 学習する文化（過去の例、学びから改革、改善に生かす）

の醸成が必要です。 レジリエンスの重要な要素として、セーフティ１：うまくいかないことを最小化する、セーフティ２：うまくいくことを最大化する、この考え方は重要です。セーフティ１は、従来の安全管理の考え方で、インシデントを分析し、原因を特定し、原因を排除し再発を防ぐことです。但し、複雑なシステムでは事故は多くの要因が相互作用して発生するため、「単一の原因」を探すだけでは限界があることが指摘されています。そこで、「失敗」だけではなく、「成功」にも学ぼうという考え方の、セーフティ２も合わせることが提唱されています。セキュリティ対応におけるセーフティ２においては、インシデントを未然に防いだ行動を分析やSOCやCSIRTの優れた判断を共有することで、「事故を減らす」だけでなく、「成功を増やす」視点が加わります。

セキュリティ文化は7つの軸で評価できる

組織のセキュリティ文化は以下の7項目で可視化・評価できます。

これらは、アンケートなどで数値化し、業界平均との差や部署別の分析を行うことで改善につなげます。文化といっても、見える化が出来るかどうかで、そのレベルの判定が出来るようになります。その結果、改善の方向性や改善度合いも見えてきますので、継続的な活動に繋がります。

姿勢 ：セキュリティに前向きに取り組もうという姿勢を持たせる努力をしているか？

認識/理解：知識を与え理解させ、それらを認識し行動に活かす取り組みはできているか？

振る舞い：セキュリティにとって良い行いを奨励する体制があるか？

コミュニケーション：現場の声を聞き入れる体制作りができているか？積極的な議論ができる組織体制か？

責任感/当事者意識：当事者意識を持たせる取り組みができているか？

行動規範 ：ルールになかったとしても安全性を考慮した行動を取る組織であるか？

遵守意識：ポリシーやルールは明確か？それを従業員が把握、学びやすい環境を提供しているか？

「結果」ではなく「プロセス」を評価する

サイバーセキュリティの重点課題は、テクノロジーからコンプライアンスに、そしてセキュリティ文化へと変遷してきました。その一つとして、インシデント件数だけを見る「結果指標」ではなく、現場から改善提案があった件数、危険の予兆報告、ルール改善活動、などの「安全プロセス指標」を重視することで、事故を未然に防ぐ組織づくりにつながります。一方、最近は一般的に良く知られている企業のセキュリティインシデントが報道されることが非常に増えてきました。その際、皆さんは自社の経営者から「当社は大丈夫なのか？」と問われるケースがあると思います、そのような時に、事故の件数など、「結果」の数値に基づく結果指標を示すだけでは十分ではありません。事故を防ぐためのシステムが健全かどうかをチェックするための数値を含めた安全プロセス指標を含めた説明も重要になってきます。それにより、経営層には「リスクを主体的にコントロールできている」という強い安心感を与えることができます。そのために、キーポイントは現場主体のセキュリティ推進と信頼です。

セキュリティと言えば、情報システム部門の仕事と言われてきましたが、ヒューマンエラーは現場で起こります。従って、情報システム部門だけでなく、現場も主体的に取り組むことが、大変重要になってきました。 必要な施策としては、【セキュリティチャンピオンの配置】、 【 現場とIT部門の橋渡し】、 【現場への権限移譲】、 などにより、組織全体のレジリエンスを高めることです。講演においては、実際に具体的な取り組みを続けている企業の取り組みが紹介されました。その企業では、最初は苦労してきたが、続けることによって現場を巻き込んで従業員が主体的に安全プロセス指標の向上を目指す文化の醸成が見られています。

レジリエンスの向上に対し

リスク発生時において、事象を想定外とする事が良くありますが、その際のレジリエンスの本質として、既知の未知（何が起きるかはわかっているが、いつ、どの程度の規模で起きるかが不明）については、裁量で対応できますが、未知の未知（それが起こる可能性すら想定しておらず、想像の範囲を超えた事態）において機能するのは、信頼です。「セキュリティ文化の醸成」こそが、不測の事態に強いレジリエンス・マネジメントを実現します。セキュリティ事象における信頼の最適化は、セキュリティ文化の確立から始まります。

現場従業員が積極的に協力してもらう姿勢を養うためには、自己有用感の醸成が効果的で、自己効力感（「自分ならできる」「きっとうまく」）と、自己有用感（「自分は人の役に立っている」「集団」）、から内発的動機（報酬や評価などの外部からの要因ではなく、自分の内側から自然に湧き上がる興味や関心、やりがいを原動力として行動する状態）になることで、自律的な積極性が醸成できます。未達や例外をどのように評価するか」が制度設計上の大きな課題であることが共有されました。

2027年の制度開始に向けて

制度は、2026年度に詳細設計を行い、2027年の運用開始が予定されています。また、取得企業については順次公表される見込みであり、企業の信頼性を示す新たな指標となる可能性があります。

これにより、企業は単に対策を実施するだけでなく、「対策をどのように外部へ説明するか」という視点も求められるようになります。セキュリティは企業価値の一部として捉えられ、取引先からの評価にも影響を与える要素となっていくと考えられます。

グループディスカッション

講演後、受講者は、４，5名のグループに分かれ、アジェンダとして、1. 現場を巻き込むための『成功体験（うまくいった工夫）』、どうしても突破できない『リアルな悩み・壁』、2. 現場を『褒める・前向きにする』ための工夫、3. 『セキュリティの味方（旗振り役・ゲートキーパー）』の設置、増やす工夫等についてディスカッションを実施しました。

目的として、セキュリティを「経営と情シス・セキュリティ部門の専任事項」から「ビジネス現場の当事者意識（オーナーシップ）」へと移行させるための具体的施策と、その壁をどう乗り越えるかを協議することで重要性への理解を深めることにあります。各グループは、企業規模、背景、文化も違う中、統一的な見解は難しかったと思います。しかしながら、現場を巻き込むための施策は「文化づくり」と「体制づくり」の両方が必要であると言う共通の同意は得られたのではないでしょうか。文化醸成には個人の理解とモチベーション向上が不可欠であり、体制づくりにおいては、専任担当者の設置や、戦略的な人材ローテーションが理想的な姿であろう、と言う意見にも賛同する方が多かったようです。また、これらの最初のステップとして、アセスメントやアンケート調査を通じて課題を可視化し、取り組むべき対象を明確にすることが重要であるという点の意見もありました。入には、社内外の関係者を巻き込んだ取り組みが不可欠であることが改めて共有されました。

参加者の声

セキュリティ対策においては、ツールや仕組みだけでなく、人を中心とした文化・風土の醸成が重要であることを改めて認識した。特に、社員の意識向上や教育の難しさを実感するとともに、「禁止する」だけでなく「褒めて広める」アプローチや、安全文化の考え方をセキュリティに取り入れる視点は、多くの気づきと学びにつながった。との意見を頂きました。（執筆者：田井）