2002年、10年ぶりにOECDのセキュリティガイドラインが改訂されました。改訂の中心は、本文中に良く出てくるCulture of Securityということです。これはセキュリティを文化として捉えて行こうということです。良く耳にする「企業文化」では、「会社の経営方針の下に、社員全員が利益や社会的責任を追及していこう」とすることです。同様にセキュリティ文化は「セキュリティポリシーに基づいて、従業員全体がセキュリティの確保に向けて活動していこう」ということです。OECDのガイドラインでは、情報セキュリティが企業経営そのものになってきていることを訴えており、そこには企業のガバナンスが働くべきことを要求しております（*図1）。
