グループ会社へ共通チェックリストを送り、回答を集め、点数を比較する。これは現状把握の入口にはなりますが、それだけで対策が実行されるとは限りません。親会社が求める水準は分かっても、誰が予算を持ち、どの仕組みを共通化し、どの例外を誰が承認するかが曖昧なら、回答後の改善は止まります。規模、事業、システム、利用できる人材が異なる会社へ同じ期限と手段を当てはめるほど、形式的な対応も増えやすくなります。

IPAが2026年8月31日に公開した「グループセキュリティガイド」は、グループ会社側と親会社側の両方から原因を分析し、27個の課題を9つの課題群へ整理しています。重要な示唆は、グループ会社の努力不足だけを問題にしないことです。グループ会社視点で導かれた真因の半数以上は、グループ会社単独では解消できず、親会社や企業グループ全体の仕組み・体制に関係するとされています。

したがって、グループセキュリティは「弱い会社を見つける監査」ではなく、守る事業、意思決定、責任分界、共通支援、改善確認を一つの運用にする取り組みです。本記事では、親会社が一方的に統制する形にも、各社へ任せきる形にも寄せず、共同で回せる最小単位を考えます。

課題：同じ基準を配っても、同じようには動けない

第一の課題は、方針と責任の境界が一致していないことです。親会社が「グループ共通」と定めても、対象会社、対象システム、最低水準、報告条件、例外手続き、費用負担が曖昧なら、現場は自社判断で解釈します。逆に細部まで一律に定めると、事業特性や既存環境に合わず、例外だけが積み上がることがあります。

第二の課題は、評価が支援へつながらないことです。高いリスクを把握しても、専門人材、予算、共通基盤、調達支援、技術相談、インシデント対応支援が用意されていなければ、グループ会社は改善計画を実行できません。「未達だから対応してください」という依頼は、親会社が解くべき構造的な問題を各社へ戻してしまうおそれがあります。

第三の課題は、点検時点の回答が更新されないことです。新しいクラウド利用、組織再編、システム更改、委託先変更、脆弱性、インシデントによってリスクは変わります。年1回の自己評価だけでは、前回回答と現在の実態が離れていても気づきにくく、改善の完了条件も曖昧になります。

考え方：「土台」と「支柱」を分け、同時に設計する

IPAのガイドは、経営意思決定やグループ間の責任分界を「土台」、現状把握、教育、監査など担当・部門レベルで回す仕組みを「支柱」として整理しています。土台が決まって初めて、支柱となる施策が実効性を持つという考え方です。例えば、教育受講率を高めても、例外を判断する人やインシデント時の連絡責任が決まっていなければ、重要な場面で迷いが残ります。

土台では、グループとして守る事業成果、経営の関与、適用範囲、最低原則、親会社と各社の責任、資源配分、例外とエスカレーションを決めます。支柱では、現状評価、リスク対応、共通サービス、教育、監査、インシデント情報共有、改善追跡を回します。両者を別々の文書に閉じず、評価で見えた課題を経営判断と支援へ戻す流れを作ります。

NIST CSF 2.0の組織プロファイルは、組織が現在達成している成果を現状プロファイル、望ましい成果を目標プロファイルとして記述し、差分を分析して行動計画へつなぐ方法を示します。点数だけで会社を順位付けするのではなく、事業目的、ステークホルダーの期待、脅威、要件を踏まえて、各社の現在地と優先する成果を説明できる形にすることが大切です。

実践手順：方針と支援を回す5ステップ

1．対象会社と守る事業影響を一枚に描く

法人数の一覧ではなく、事業とデジタル依存関係から始めます。各社が担う重要業務、顧客・取引先、主要サービス、共有ID、ネットワーク接続、共通クラウド、委託先、データの流れを整理し、障害や侵害が他社へ波及する経路を確認します。すべてを詳細に棚卸しする前に、停止時の影響が大きい業務を一つ選び、関係する会社とシステムをつなぎます。

IPAの最新ガイドは国内に拠点を持つ資本関係のある会社を主なスコープとし、海外拠点、資本関係のない取引先、ソフトウェアサプライチェーン、M&Aで傘下となった会社などを対象外としています。自社で活用するときは、このスコープをそのまま転用せず、自社の境界と対象外を明示します。

2．方針と責任分界を、判断できる言葉にする

グループ方針には、目的、適用範囲、守る原則、経営の関与、親会社と各社の役割、最低限求める成果、報告、例外、見直しを含めます。「適切に管理する」のような抽象語だけで終わらせず、誰が決定し、誰が実行し、誰が支援し、どの条件で上位判断へ上げるかを確認します。

共通ID基盤、端末管理、監視、バックアップ、教育、インシデント窓口などは、提供者、利用者、費用、運用時間、障害時の責任を表にします。親会社が一括提供する領域、各社が実施する領域、共同で実施する領域を分け、重複と空白を探します。方針は配布日で完了とせず、各社の経営・事業・IT担当が自社の判断へ翻訳できるかを対話で確かめます。

3．現状と目標を、証跡付きの成果でそろえる

自己評価は、ツールの有無だけでなく、期待する成果が継続的に達成されているかを見ます。例えば「多要素認証あり」ではなく、「管理者と重要業務の認証が定めた方式で保護され、例外と復旧が管理されている」という成果で確認します。方針、手順、設定、ログ、訓練記録など、現状を説明する最小限の証跡を対応付けます。

各社の現状プロファイルと目標プロファイルを作り、差分の事業影響、緊急性、実行可能性を確認します。同じ未達でも、重要業務へ直結するものと、限定された環境のものでは優先順位が異なります。評価尺度を会社間の競争に使うのではなく、支援と投資の順序を決める共通言語として使います。

4．共通支援を、改善タスクとセットで提供する

高優先の差分ごとに、責任者、期限、必要な人員・費用、依存タスク、完了条件を定めます。そのうえで親会社は、共通ライセンス、標準設定、共同調達、相談窓口、ひな型、教育、SOC・CSIRT支援、外部専門家など、各社単独では用意しにくい能力を束ねます。共通化が合わない場合は、代替手段と例外期限を決めます。

IPAのガイドは、27課題すべてへ一斉に着手するのは現実的でないとし、担当・工数・期間を見積もれる粒度へ分解し、依存関係を踏まえて直列・並列を組み合わせる考え方を示しています。最初の対象を絞り、土台となる方針・責任・資源配分と、実際に改善する支柱を一組で動かします。

5．証跡と変化を使って、方針・評価・支援を更新する

改善完了は「対応しました」という報告だけで閉じず、設定確認、サンプルログ、復旧テスト、机上演習、インシデント記録などで成果を確かめます。未達件数だけでなく、重要リスクの残存期間、期限超過の理由、例外の集中、共通支援の利用状況、再発した課題を確認します。数値を個人や会社への懲罰に直結させると、問題が隠れやすくなる点に注意します。

NIST SP 800-18 Rev.2は、システム計画に、システムの目的、管理策の実施状況、関係者の責任や期待される行動などを含める考え方を示し、機械可読な情報を使った継続的な更新にも言及しています。グループ運用でも、静的な回答書を増やすより、資産、責任、例外、証跡、改善タスクを関連付け、変更時に更新できる台帳へ寄せる方が有効です。

注意点：統一と一律は同じではない

  • 最低水準を製品指定だけにしない：達成したい成果を示し、事業・規模・既存環境に合う代替手段を評価できるようにします。
  • 点数で会社を並べない：同じ点数でもリスクと改善難易度は異なります。事業影響、証跡、残存リスクを併せて対話します。
  • 責任移転と誤解しない：共通基盤を親会社が提供しても、各社の利用・運用・報告責任まで自動的に移るわけではありません。
  • 例外を恒久化しない：理由、承認者、代替策、有効期限、再評価日を記録し、環境変化に合わせて閉じます。
  • 情報共有の範囲を決める：インシデント、脆弱性、監査結果には機微情報が含まれます。目的、アクセス、保存期間、外部共有を定めます。
  • ガイドの対象外を見落とさない：海外拠点、M&A、委託先、資本関係のない取引先などは、別途適用範囲と要求を検討します。

最初の90日で作るべき成果物

最初の30日で、重要業務を一つ選び、関係会社、共有システム、データ、依存関係、波及シナリオを一枚にします。同時に、既存方針、責任分界、共通サービス、連絡先、例外を棚卸しし、判断の空白を見つけます。

次の30日で、対象会社と親会社が現状・目標プロファイルを作り、優先する差分を三つ程度に絞ります。差分ごとに責任者、支援策、期限、証跡、完了条件を定めます。最後の30日で、一つの改善を完了まで通し、机上演習や設定確認で成果を検証します。その結果から、方針文、評価質問、証跡、共通支援、エスカレーションを更新します。

まとめ

グループセキュリティの成熟は、回答率や一斉点検の回数だけでは測れません。親会社とグループ会社が、守る事業を共有し、責任と支援をセットで設計し、現状と目標の差を優先順位へ変え、証跡と変化から運用を更新できる状態が重要です。土台となる方針・責任・資源配分と、支柱となる評価・教育・監査・改善を分断しないことが出発点です。

FourthWallは、グループ方針と責任分界の整理、現状・目標プロファイル、共通統制と例外管理、改善ロードマップ、演習・証跡確認を、各社の事業と実行能力に合わせて設計する支援を行います。最初の一歩は、全社へ新しいチェックリストを配ることではなく、「この重要業務を守るために、親会社が決めること・支援することと、各社が実行・報告すること」を一枚にすることです。

参考資料

本記事は公開資料に基づく一般的な情報提供を目的とし、個別の法務、契約、監査、内部統制、情報セキュリティ、個人情報保護に関する専門的助言ではありません。実際の適用範囲、責任分担、報告、証跡、情報共有、グループ会社への関与方法は、資本関係、事業、契約、法令、地域、システム構成、組織の権限を踏まえ、関係する専門家と確認してください。

FW

WRITTEN BYFourthWall Consulting Teamテクノロジーと経営の両面から、企業変革を支援しています。

← 技術ブログ一覧へ戻る