世界的な潮流としてITセキュリティの内部統制が求められている（イメージ：写真AC）

米国と日本で言葉使いが違うのはなぜ？

アメリカの証券取引委員会（SEC）が 2024 年度に実施に踏み切るForm 8-k item1.05（臨時報告書）を含む一連のサイバーセキュリティへの取り組みと報告義務の内容は、激しい議論を経て、アメリカの上場企業（SEC参加企業）に少なからずの衝撃を与えています。

日本でも、時を同じくしてJ-SOX改訂が実施されることは、すでにこのコラムで触れました（第25回、第27回）。その J-SOX改訂のポイントの一つにも、情報セキュリティの確保が示されています。

「Form 8-k item1.05 を含むサイバーセキュリティへの取り組み」とは、上場企業が、サイバーセキュリティに関する重大なインシデントが発生した際、その内容、時期、財務や経営に与える影響などを「4営業日以内」に臨時報告書 Form 8-kとして提出、開示することです。

他の Formでは、年次報告として、サイバーセキュリティの取り組みに対するガバナンスやマネジメント、担当役員のサイバーセキュリティに対する経歴（職歴、学歴、スキル等）なども報告しなければなりません。

ところで、アメリカのSECが示す枠組みは「サイバーセキュリティ」、日本のJ-SOXは「情報セキュリティ」と言っています。この違いは何でしょうか。

「情報セキュリティ」の範囲は広く、サイバー要素以外の人的なソーシャルエンジニアリング、紙媒体や他のメディア媒体の情報管理なども含まれる（イメージ：写真AC）

些細な言葉の使い方だと、プロでも気に留めない方々もおられます。意味合いからしても、情報セキュリティの範囲は広く、サイバー要素以外の人的なソーシャルエンジニアリング、紙媒体や他のメディア（USBやHDD／SSD）媒体の情報管理、ゾーンセキュリティなども含まれているので、何も「サイバー」として範囲を狭めなくとも「情報セキュリティ」と言っておけば、サイバーセキュリティは包含されるので、問題ないはずと、多くの人は考えています。

ただ、それは誰もがわかっていることです。なぜ SECは「サイバーセキュリティ」で、金融庁は「情報セキュリティ」なのか。

日本は中堅国と比較しても、上場企業のDX／AI、デジタル化が遅れ、IT活用の範囲も狭いことが指摘されています。上場企業が果たすべきリスクマネジメントの優先度設定において、情報セキュリティという範囲の広い言葉が項目としては挙がっているものの、その中のサイバーセキュリティについては具体的な対応項目が表に出なくなっています。

「情報セキュリティ」は言葉の意味する範囲が広いゆえに、簡易にできる対策の導入に経営の目が行き、それを現場が選択してしまうという問題がある（イメージ：写真AC）

つまり、情報セキュリティの枠内で簡単にできること、予算がかからず人的スキルを要求しない簡易なシステムの導入に経営の目が行き、それを現場が選択してしまう。このことが非常に問題だと考えます。日本の上場企業はいまだに印鑑を押した紙を流通させ、USBを使い、人的な情報犯罪に対するシステム的なチェック体制も甘い、そう筆者は思っています。

アメリカのSECがサイバーセキュリティに固執しているのは、情報セキュリティ全体の枠組みの中で、特にサイバーセキュリティを優先させて対応している姿勢をステークホルダーに示せ、また対応している証拠を示せと言っているわけです。