第2回：経営者が取り組むサイバーセキュリティの第一歩は？ 

　前述した通り、「己」とは、文字通りの自社です。自社のセキュリティ管理水準の実態を正確に理解することは重要です。ただし、ここで重要なのは、さらにその一歩手前にある、セキュリティリスクに影響しうる、自社の特性です。
　近年、様々なリファレンスが登場したことで、セキュリティ管理の問題点や成熟度合いを評価することは容易になりつつなります。ただし、だからこそ陥っている状況が、その手前にある真の己を理解しきれていない、という実態です。それは、セキュリティリスクの度合いに影響し得る特性への理解が曖昧になっているということです。では、その特性とは、なんでしょうか。それは、「守るべき情報資産の特性」ですが、大別すると以下の通りです。

• • • 情報資産の種別
    • ビジネス上の利用目的
    • 保管場所（地域、拠点、媒体等）

　上記を見ると、当たり前のように見えるかもしれません。ただし、実際の実務においては、これが不明瞭のまま対策検討が進むケースは少なくありません。その場合、検討に際してどのような弊害が考えられるでしょうか。いくつかの事例を紹介しましょう。

ケース1：情報資産の種別が不明瞭

　自社の競争優位性やレピュテーションに影響を与えうる情報資産が把握し切れていないケースです。大別すると営業秘密とヒトに関わる情報が該当しますが、当たり前のように見えて、見落としがちなケースが散見されます。
　例えば、営業秘密は、昨今のコネクテッド化の進展に伴う、業務提携・買収・JV設立等、ビジネススキームの広がりにも関わらず、知らずの内に足下の情報を見落とすケースが往々にしてあります。仮に各部門単位で把握していたとしても、全社統括視点で認識が行き届いていない限り、戦略や方針レベルでリスクの大きな見落としにつながる危険を孕みます。

ケース2：ビジネス上の利用目的が不明瞭

　このケースは、特に個人情報やパーソナルデータが該当します。こうした情報は、各地域や国が定める法令で、利用目的の同意（オプトイン/オプトアウト）が必要となります。そして、図3の通り、法令の種類は多岐に渡ります。もし、「ビジネスで役に立ちそうだからとりあえず使ってみよう」という安易かつ場当たり的な発想で臨んだ場合、法令違反によるレピュテーション低下を招きかねません。逆に、ビジネスでの利用は限定されているにも拘らず、誤った判断で過剰な利用目的を掲げてしまうこともあります。これは、無駄に法令対応のパワーを割いてしまうため、非効率です。