サイバーセキュリティ基本法 [セキュリティ研究室]

　こんにちは！
　ナビゲータのEVEです。

　本日は、日曜日ということで、セキュリティの日です。 　本日は、サイバーセキュリティ基本法についてみていきましょう！

[サイバーセキュリティ基本法]

　では、早速、サイバーセキュリティ基本法とは何なのか、ChatGPTに解説をしてもらいましょう。

概要
公布日：2014年11月6日
施行日：2015年1月9日

■目的：
　情報通信技術の活用が広がる中で、国家・経済活動・国民生活を守るため、国としてサイバーセキュリティに対する基本的枠組みを定めた法律です。

★基本法の位置づけ
　この法律は、「国の基本方針」や「組織間の役割分担」、「関係者の責務」などを定めるものであり、具体的な技術的対策を定める法律ではありません。
　つまり、「誰がどんな責任を持つか」を定義した“セキュリティガバナンスの憲法”のようなものです。

★主な内容とポイント
❶基本理念（第3条）
・国の安全と国民の生活を確保すること。
・国際的協調も視野に入れつつ、民間や個人と連携して対応していくこと。

❷関係者の責務（第4条〜第7条）

関係者	責務内容
国（政府）	サイバーセキュリティ戦略の策定、国際連携、リスク評価など
地方公共団体	国の方針に基づいた施策を講じる
事業者（企業など）	自主的かつ積極的にセキュリティ確保に努める（努力義務）
国民	情報リテラシーを高める努力をすること

*経営者にとって重要なのは、**「事業者の責務」**として、セキュリティを他人事ではなく自社の「経営課題」として扱う姿勢が求められていることです。

❸サイバーセキュリティ戦略本部（第8条）
・内閣に「サイバーセキュリティ戦略本部（※）」を設置。
・本部長は内閣官房長官。
・各省庁や機関の連携、政策立案を統括する指令塔のような存在。
※かつての「情報セキュリティ政策会議」の後継組織。

❹重要インフラの保護（第13条）
・電力、交通、金融、医療、通信など、国民生活に不可欠なインフラ事業者は特に対策を講じる必要がある。
・経営者には、自社が重要インフラに該当するか否かの確認も重要。

★法改正の流れと背景

年	改正の主な内容
2018年	官民連携の強化、IoT機器など新しい脅威への対応強化
2021年	「デジタル庁」の設置に伴う関連機能の統合、国全体の対処能力の強化

*近年の改正では、「デジタル庁との連携」や「新しい技術への対応（クラウド、AI、IoT）」が重視されています。

■経営者にとっての意義

観点	内容
社会的責任	法律では「努力義務」だが、実質的には社会的信用の確保に直結
リスクマネジメント	サイバー攻撃による業務停止、顧客離れ、賠償などのリスクを経営レベルで管理
パートナー信頼	取引先からのセキュリティ評価にも影響。「セキュリティは取引条件」の時代へ

■実務で使える補足資料
★内閣官房
・サイバーセキュリティ戦略
・サイバーセキュリティ基本法に基づき、国が3年ごとに策定する戦略文書
・サイバーセキュリティ戦略（内閣官房）

★経産省
・セキュリティ経営ガイドライン
・この法律の実行を支える、企業の具体的行動指針

[サイバーセキュリティ基本法]

　では、以上の内容から具体的にどんなことをしたらいいのでしょうか？

No	分類	具体的なアクション	解説
①	情報資産の把握と分類	重要な情報（個人情報、営業秘密、設計図など）を洗い出し、リスクごとに管理レベルを決める	例：情報の機密性・完全性・可用性の観点から分類
②	管理体制の構築	情報セキュリティ責任者（CISO）などを設置し、明確な責任分担を行う	中小企業では兼任でも可。誰が何を守るかの線引きが重要
③	教育・訓練の実施	全社員にセキュリティ教育を行い、フィッシングやパスワード管理などのリスク感度を高める	例：eラーニングや年1回のセキュリティ研修など
④	技術的な対策の実装	ウイルス対策ソフト、ファイアウォール、アクセス制御、暗号化などを実施する	可能な限り既存のセキュリティツールを導入・運用する
⑤	外部委託時のセキュリティ確保	委託先と契約書でセキュリティ要件・責任範囲を明示する	例：クラウド業者、開発ベンダーとの守秘義務・事故対応義務など
⑥	インシデント対応体制の整備	万が一に備えて、対応フロー・通報先・報告手順を整備する	例：CSIRTの設置や、警察・IPA・顧客への報告体制の確立
⑦	継続的改善	セキュリティポリシーや管理策を定期的に見直す	例：年1回の内部監査やログ分析による改善提案

具体的に何をするのか書かれているのはいいのですが、CMMIと違って、すべての企業を対象に網羅的に書かれており、各企業で最適なセキュリティというものが分かりにくいものとなっています。そして、サイバーセキュリティ基本法には罰則規定はありません。但し、その他の法律に罰則規定があり、その罰則規定に反しないようにセキュリティを維持することが求められています。それが以下の法律です。

法律名	概要	罰則の有無
個人情報保護法	個人情報の漏えいや不正利用に関する管理責任を定める	◎ あり（命令違反や漏洩時の報告義務違反など）
不正アクセス禁止法	ID・パスワードの不正利用やアクセス行為を禁止	◎ あり（刑事罰：懲役または罰金）
電気通信事業法	通信サービス提供者の安全管理措置	◎ あり（行政処分や報告義務）
サイバーセキュリティ対策推進法（関連法）	特定の省庁や重要インフラ事業者に対する強化策	△ 主に命令ベース、違反時は行政指導レベル
刑法（業務上過失・背任・漏えい等）	内部犯行や漏えい時に刑法が適用されるケース	◎ 状況により罰則対象

[あとがき]

　サイバーセキュリティ基本法は、基本法と書かれている通り基本的な内容で、法律に反しないことを求めています。日本の多くの法律同様に、その法自体には罰則規定はなく、問題が発生した場合の罰則を、他の法律に求めています。但し、サイバーセキュリティ経営ガイドラインをはじめ多くの文書は、その責任を経営者と明記しているということは忘れてはいけません。


　では、また！