正解：ア
各選択肢の解説
アCIOとは別にCISOを置き、稼働の可否について経営に直接意見できる立場とする。
正解。システムを予定どおり動かしたい推進側と、危険があれば止めるべきと言う側を 別の役員に分けることで、セキュリティの確認が推進の都合で省かれにくくなります。
イCIOの配下にセキュリティ担当課を新設し、脆弱性診断の実施を担当させる。
誤り。担当課を作れば診断の担い手は確保できますが、指揮するのは稼働を急いだCIOのままです。 推進の都合で診断を省く判断が同じ指揮系統の中で下される構造は変わりません。 担い手を増やすことと、推進から独立させることは別の問題です。
ウCDOに脆弱性診断の実施可否を判断させ、デジタル化の推進と一体で管理する。
誤り。CDOはデジタル技術による事業変革を推進する役員です。 新システムを早く使いたい推進側に立つので、CIOに判断させるのと同じく、 稼働を急ぐ事情がセキュリティの確認より優先されやすい構造が残ります。
エCPOに全システムの脆弱性診断を統括させ、個人データの保護と一体で管理する。
誤り。CPOは、個人に関わるデータの使い方が本人のプライバシーを損なわないかを 判断する役員です。個人データの保護と脆弱性対策は重なる部分もありますが、 全システムの技術的な安全を統括するのはCISOの担当分野です。
理解を深めるために
アクセルとブレーキを同じ人に持たせない
工事の現場で、工期を守る責任者が安全点検の合否も決めていたら、 工期が迫ったときに点検は「今回は省略」になりがちです。 だから安全管理は工程管理とは別の担当に任せ、危ないときは止められるようにします。
この場面も同じ構造です。新システムを予定どおり動かす責任を持つCIOが、 稼働前の診断を行うかどうかも握っていたため、推進の都合が優先されました。 推進する役と、セキュリティの観点から止める役を分けるのが、CISOを別に置く意味です。
CIOとCISOを分ける理由
- CIOは情報システムやIT投資の方針を決め、システムを計画どおりに動かす責任を負う
- CISOは全社の情報セキュリティ対策を統括し、リスクがあれば経営に報告して判断を仰ぐ
- 両者を同じ人や同じ指揮系統にまとめると、期限や費用の圧力が確認作業の省略につながる
- CISOが経営に直接意見できる立場にあることで、リスクを受け入れて稼働するかどうかを 経営者が判断できるようになる
担当者を増やすだけでは足りず、誰の指揮下に置くかが問われている点に注意します。
混同しやすいものとの違い
| 役員・体制 | 担う範囲 | 稼働を急ぐ圧力からの独立 |
|---|---|---|
| CISO（CIOとは別に置く） | 全社の情報セキュリティの統括 | 独立している |
| CIOの配下の担当課 | 診断の実施 | 指揮系統が推進側のまま |
| CDO | デジタルによる事業変革の推進 | 推進側に立つ |
| CPO | 個人データの使い方の是非 | 担当分野が違う |
体制の問題は「誰がやるか」より「誰の指揮で、誰に報告するか」で見分けます。