公益社団法人企業情報化協会IT協会【第6回IT協会DigitalDays2026サイバーセキュリティ領域】

【第13回 情報セキュリティシンポジウム】サイバーセキュリティ領域 | 第6回IT協会Digital Days 2026 :IT協会　公益社団法人企業情報化協会

特別講演：サイバーセキュリティは“経営者の意志”がつくる～インシデント事例から考える、組織横断ガバナンスと事業継続の意思決定～

講演概要

サイバー攻撃は、いまや企業のIT部門だけが対処する技術課題ではなく、事業継続と企業価値を左右する重大な経営課題となっています。攻撃はIT障害に留まらず、業務停止、納期遅延、顧客対応の混乱、開示判断の遅れ、社会的信用の失墜へと波及し、サプライチェーン全体に影響を及ぼします。サイバーセキュリティは「報告を受けるテーマ」ではなく「経営者が意思決定するテーマ」へと変わりました。

実際の事例はその深刻さを示しています。小島プレス工業株式会社様のシステム障害では、トヨタ自動車株式会社様の国内14工場が稼働停止に追い込まれました。大阪急性期・総合医療センター様では電子カルテシステムが暗号化され、診療・検査・手術・会計など医療機関としての機能が長期間にわたり制限されました。これらは「情報漏洩があったかどうか」だけではなく、「事業がどこまで止まるか」が企業の命運を左右することを示しています。最近の日本で報じられた情報セキュリティ事件においては、ランサムウェア攻撃の深刻化、クラウドサービスの設定不備を突く攻撃の増加、サプライチェーンに向けた攻撃の拡大、内部不正・人的ミスも依然多い傾向にあります。攻撃の入口も多様化しており、メールだけでなく、VPN、古いサーバー、退職者アカウント、弱いパスワード、クラウド設定不備などが主要な侵入経路となっています。特にクラウド化が進む現在、IDと権限管理は企業の“鍵の管理”そのものであり、「誰がどのサービスにアクセスできるか」を把握できていない企業は、事業継続の基盤を失っていると言えます。

しかし、多くの企業では、セキュリティの重要性を理解しながらも組織が動けない「４つの壁」が存在しています。①IT部門と事業部門の分断、②売上優先による投資の後回し、③技術と経営の言語の違い、④グループ会社・委託先への統制不足です。これらを越えるには、組織横断のガバナンス設計が不可欠であり、「誰がリスクを把握し、誰が判断し、誰が実行するか」を明確にすることが重要になります。経営者が果たすべき役割は、第一に、「どこまでリスクを受容するか」を決めること。特に「止めてはいけない業務」を特定し、「どの業務が1日止まると致命的か」、「どこまでなら耐えられるか」を判断する必要があります。第二に、投資の優先順位を決めること。第三に、有事の意思決定体制を平時に設計することです。特に初動72時間は重要で、技術調査・法務判断・広報・経営判断が分断されると混乱が拡大します。バックアップの復元確認、管理者IDの多要素認証、緊急連絡体制、初動訓練などは、事業停止の被害を大幅に減らすことに繋がります。

さらに生成AIの進化により、攻撃の高度化、社員による情報入力リスク、AI利用ルール整備という新たな課題も生まれています。これは技術の問題ではなくガバナンスの問題であり経営判断が不可欠です。明日から始めるべき自社点検が重要であり、①現状把握（重要業務の特定、バックアップの復元確認）、②ガバナンスの確保（有事の「誰が」を明確化）、③優先行動の設定の三段階が重要になります。

「明日システムが止まるとしたら何が最も困るか」という問いを経営・IT・事業部門が共有することが、現実的なサイバーセキュリティ経営の第一歩となります。サイバーセキュリティは、企業の規模を問わず経営者の意志によって決まります。何を守り、何を優先し、誰が判断するのか。その答えを明確にすることこそが、企業がサイバー攻撃に耐えうる体力を獲得するための最初の一歩となるのです。 本講演が皆様の経営にお役に立てれば幸いです。