中小企業のセキュリティ対策は「役割分担」で決まる―CEO・CIO・CISOが果たすべき役割を整理する

「サイバーセキュリティ」「ガバナンス」「インシデント対応」――こういう言葉を並べると、途端に眠くなる人が多いと思います。私もそうです。

ただ、この業界に25年いると、企業のセキュリティ事故の多くは「技術の問題」ではなく「体制の問題」だと感じるようになりました。誰が何を決めて、誰が何を動かすか。その役割分担が曖昧な組織は、何かあったときに必ず崩れます。

そこで一度、水戸黄門に例えて整理してみます。

まず、登場人物の整理から

役職	水戸黄門のキャラ	主な役割
CEO	水戸黄門	会社の最終決定者・ガバナンス
CIO	格さん	IT戦略・セキュリティ・データ管理
COO	助さん	現場運営・業務プロセス改善
CISO / SOC	弥七	サイバーセキュリティ・インシデント対応
CMO / PR担当	かすみのお新	マーケティング・広報・顧客対応
CSO / IT現場担当	八兵衛	セキュリティの実行・現場オペレーション

セキュリティ事故が起きた日の一幕

ある朝、社内システムへの不正アクセスが検知されました。現場は騒然としています。さて、各メンバーはどう動くか。

弥七（CISO）はすでに動いています。誰も知らないうちに攻撃者のIPアドレスを追跡し、ファイアウォールの穴を塞いでいる。「敵は東南アジア経由で侵入しました。ルートは3つ。すでに2つは封鎖済みです」と、さらっと報告してきます。頼りになりますが、報告が遅い。そして説明が難しすぎて誰もよく分かっていない。これがCISOあるあるです。

次に動くのが格さん（CIO）。「セキュリティログを分析しました。フィッシングメールが起点です。昨日の16時32分に開封されています」と、几帳面な報告が届きます。正確なのですが、「で、今どうすればいいんですか」という問いには答えてくれない。技術的に正しいけれど、意思決定の判断材料にならない。これもあるあるです。

助さん（COO）はすでに現場を動かしています。「業務への影響を最小化するため、該当部署のネットワークを一時的に切り離します。復旧は2時間以内を目標にします」と即断。現場で動ける人間がいるかどうかで、被害の広がり方がまったく変わります。

一方、かすみのお新（CMO）はお客様への対応を準備しています。「プレスリリースの草案を作りました。SNSへの投稿は一時停止します。問い合わせ窓口を設置します」。外向きの動きが遅れると信頼を失います。技術の問題が解決しても、広報が失敗すると企業イメージへのダメージは残ります。

そして八兵衛（現場IT担当）。「社内の全パスワードを変更しました！」と元気よく報告してきますが、変更したことを関係者に伝えていなかったため、翌朝に誰もログインできなくなりました。現場の実行力は高いのですが、連携が抜けることがある。これも現実です。

そして最後に水戸黄門（CEO）が登場します。「皆の者、ご苦労であった。して、お客様への影響はどの程度じゃ？」と聞いてきます。各メンバーから報告を受け、最終的な方針を決める。「今回の件を踏まえ、セキュリティ研修を全社で実施する。助さん、段取りを頼む」と締める。この「最後に決める人間がいるかどうか」が、体制の有無を決めます。