【エネルギー業界におけるグループセキュリティガバナンスの最前線】―実効的なグループガバナンス構築の要諦―

2024-10-11

※2024年8月に配信したニュースレターのバックナンバーです。エネルギートランスフォーメーションニュースレターの配信をご希望の方は、ニュース配信の登録からご登録ください。

グループセキュリティガバナンスの重要性

昨今、企業はセキュリティ対策に取り組み、高度化するサイバー脅威への対応を進めてきました。このような背景もあり、攻撃者は標的を大企業のグループ会社や、サプライチェーンを支える取引先にシフトさせています。グループ会社が震源地となるセキュリティインシデントは頻発しており、エネルギー企業にとっても対岸の火事ではありません。

一般的にグループ会社は、本社と比較してヒト・モノ・カネといったリソースが潤沢でないという課題を抱え、セキュリティ対策ならびにそのための体制が手薄になる傾向が見受けられます。その一方で、グループ会社で情報漏洩が起きたり顧客向けサービスが停止に至ったりした場合には、当該グループ会社だけでなく、本社におけるガバナンスの問題点が指摘されてしまいます。

このことからも、グループとしてセキュリティガバナンスの実効性を確保することは、重要な経営課題として認識されています。

現場の実態、グループガバナンスの難しさ

既に多くの企業では、グループ全体に効力が及ぶセキュリティポリシーやガイドラインを発行、周知し、その準拠状況をモニタリングする運用を進めています。

しかしながら、以下のような理由から、その運用下においても、対策の実効性および網羅性が確保されていないケースが散見されます。

対象に関わらず画一的な基準を設けている

グループ会社ごとに業態や取り扱う情報が異なる場合においても、均一な対策基準を求めており、リスクに応じた設定がなされていない。

グループ会社におけるリソースが確保されていない

要求に対応するためのリソースがグループ会社に割り当てられておらず、対応が困難となっている。また、セキュリティポリシーを読み解くための専門性やリテラシーの不足により、誤った対策が進められている。

成り立ちや企業文化に差異がある

買収した企業において本社の統制をそのまま適用することが困難であったり、海外拠点において文化的背景から統制に係るコミュニケーションでつまずいたりするケースが多い。

加えて、本社のモニタリングに対してグループ会社が事実誤認に基づく報告を行ったり、虚偽の報告を行ってしまう可能性も排除できません。また、本社がグループ会社の対応状況やリスクの所在を正確に把握できず、リスクが残存してしまうことも想定されます。

責任論主体のガバナンスから実効的なガバナンスへ

前述のような状況から、「セキュリティポリシーを用意し、あとはグループ会社に対応させる」といった従来の責任論主体のガバナンスは限界を迎えています。本社から実務的な連携および支援を行なうことで、より実効的なガバナンスを構築し、グループ全体を確実に守ることが求められます。その実現には、以下のポイントが重要となります。

人／組織
- 本社とグループ各社の経営層が、グループとしてセキュリティガバナンスを推進すること、またこれに伴うリソース配分を行なうことについて、コミットメントすること
- グループ各社における取り組みにおいて、対話に基づいたコミュニケーションを重視し、アンケートのみでは得られない現場の“本音”を引き出すこと
仕組み
- 画一的とせず、リスクに応じたガバナンス強度を設計すること
- グループ会社における自律的統制の実現に向け、役割分担の明確化、グループとしてPDCAを運用するプロセスの構築、組織マインドの醸成に取り組むこと
- 新たな取り組みや対策をグループに展開する際は、各社の今後の計画や予算などの策定プロセスと整合性をとること
技術
- グループ共通で利用する標準サービスについては、本社がコスト負担や運用に責任を持ち、一元的なサービス提供を行うこと
- セキュリティポリシー準拠の実態把握は、人手での監査活動に頼らず、アタックサーフェス（サイバー攻撃の対象となる領域）マネジメントツールなどを活用することで、PDCAサイクルを高頻度に回すこと

このように、従来の責任論主体のガバナンスから脱却し、実効的なガバナンスの構築に力点をシフトしていく必要があります（下図参照）。

PwC Japanグループはエネルギー分野におけるサイバーセキュリティ・ガバナンス・マネジメントを実現すべく、サイバーセキュリティやリスク管理を専門とするコンサルタントとエネルギー業界専門のコンサルタントが連携し、またPwCグローバルネットワークのエネルギー業界におけるサイバーセキュリティ専門チームとも協力して、海外の知見や調査結果を活用しながらサービスを提供していきます。