4-2. 企業経営に重要なDX推進とセキュリティ確保の両立
4-2-1. 企業経営のためのサイバーセキュリティの考え方
セキュリティ対策にかかる支出をやむを得ない費用とするのではなく、経営のために必要な投資と位置づけ、自発的にセキュリティ対策に取り組むことが重要です。DXの推進にあたり、IoTなどのデジタル技術を積極的に取り入れる中、安全性が高い品質の製品やサービスを実現していく取組は、企業価値や競争力の向上につながります。そのため、DXの推進とセキュリティ対策の強化の両方に取り組むことが大切です。
セキュリティ対策を行うにあたって、以下の基本的認識や留意事項を理解し、自社の現状のIT活用状況や、セキュリティ対策の取組レベルに応じた対策を行うことが大切です。
図6 ITの活用またはサイバーセキュリティ対策の取組状況に応じた分類と対策
（出典）NISC「企業経営のためのサイバーセキュリティの考え方の策定について」をもとに作成
・サイバーセキュリティに関する取組や方針を情報発信することによって、関係者の理解を深め、社会的評価を高めることができる。 <②リスクの一項目としてのサイバーセキュリティ> ・提供する機能やサービスを全うする（機能保証）という観点から、リスクの一項目としてのサイバーセキュリティの視点も踏まえ、リスクを分析し、総合的に判断。
・経営層のリーダーシップが必要。 <③サプライチェーン全体でのサイバーセキュリティの確保> ・サプライチェーンでつながるどこかの企業のセキュリティ対策が不十分だと、そこから自社の重要情報が流出してしまうなどの問題が起きる可能性がある。そのため、サプライチェーン全体で一定レベルのサイバーセキュリティの確保が必要。
・一企業のみでのセキュリティ対策には限界があるため、関係者間での情報共有活動への参加などが必要。
企業のIT活用状況、セキュリティ対策の取組のレベルに応じた、実施すべきセキュリティ対策について説明します。企業のIT活⽤状況および、セキュリティ対策の意識や実施レベルは、以下の6つに分類できます。「理想的」な状態が一番よく、この状態を実現していくためには、自社が置かれているレベルに応じたセキュリティ対策を進めることが重要です。必要なセキュリティ対策の一例を「もっと積極的」、「無駄な投資」、「危険」に該当する分類ごとに紹介します。
対策 ITを積極的に活用してビジネスの展開を目指すことが重要であり、攻めのIT投資に関する取組を行うことです。
対策 リスクを再評価して、サイバーセキュリティ対策が過剰になっている部分については見直しを行うことが必要です。
対策 情報セキュリティポリシーの策定と実践が必要であり、まずはサイバー攻撃を受けた時のための緊急時対応用マニュアルを作成すべきです。
対策 コストがあまりかからない最低限のセキュリティ対策から実施することが重要であり、例えば「情報セキュリティ5か条」の対策を行うべきです。
図7 ITの活用またはサイバーセキュリティ対策の取組状況に応じた分類と対策
（出典）東京都「 ITおよびサイバーセキュリティに関する組織の視点6分類」をもとに作成
4-2-2. DX with Cybersecurity
業務や製品・サービスのデジタル化が進む中、サイバーセキュリティの確保は企業の価値に直結する重要な要素となっています。このため、DXとサイバーセキュリティ確保に向けた取組を同時に推進すること（DX with Cybersecurity）が不可欠になっています。しかしながら、中小企業がDX with Cybersecurityを推進するにあたり、人材や予算などのリソース不足などさまざまな課題が存在しています。これらの課題に対処するため、国が実施している施策の一部について説明します。
【施策】 経営者がITやセキュリティに関する専門知識を持っていない場合でも、セキュリティの専門家と協力し、「プラス・セキュリティ」知識を習得する環境を整備
【施策】 中小企業が利用しやすい安価かつ効果的なセキュリティサービス・保険の普及など、中小企業向けセキュリティ施策を推進
【施策】 産業分野別、または産業横断的なガイドラインの策定や活用促進を通じて、産業界におけるセキュリティ対策の具体化・実装を促進データ流通の信頼性確保【課題】 データの真正性や流通基盤の信頼性を確保することが重要
【施策】 データマネジメントの定義、送信元のなりすましやデータの改ざんなどを防止する仕組みを整備セキュリティ製品・サービスの信頼性確保【課題】 市場において提供されるセキュリティ製品・サービスが信頼できるか、客観的な評価が必要
【施策】 一定の基準を満たすセキュリティサービスの審査・登録する仕組みを整備先端技術・イノベーションの社会的実装【課題】 デジタル化の進展に伴い、効率的なセキュリティ対策が必要
【施策】 研究機関の知識や技術を民間企業が活用しやすい環境の整備や、企業が社外の知識や技術を取り入れ、組織の改革（セキュリティ対策の強化など）を進められる環境の整備を推進
詳細理解のため参考となる文献（参考文献）
