伊藤忠テクノソリューションズ株式会社（CTC）は8月21日、企業が実装すべきサイバーセキュリティ・ガバナンス体系についてのブログ記事を発表した。北島雅之氏が執筆している。
同記事では、7月に発生した外部からの不正アクセスによる食品物流大手の社内システムでの障害で、冷蔵倉庫の入出庫業務と冷凍食品の出荷業務に支障が生じたことで、同社に食材の保管と店舗への配送を委託していた大手外食チェーンが、全国の店舗で商品の一部の品切れ、販売メニューの制限、営業時間の短縮、臨時休業に至る可能性があるという内容を、影響の見通しとして公表していた。
同記事では、この出来事が今のサイバーセキュリティをめぐる二つの現実を示しているとしている。
一つは、情報が漏れていなくても事業は止まるということで、本事案では障害の発生当初、社外への情報流出は確認されていなかったが、出荷が止まれば実害は生じ、守るべき対象は、データだけでなく事業そのものにも広がっているとしている。
もう一つは、自社が無事でも取引先が止まれば事業は止まるということで、外食チェーンのシステムは侵害されていないが影響は免れず、企業は自社だけでなく、取引先や委託先を含むつながり全体で事業継続を考える必要があるとしている。
同記事では、サイバーセキュリティが情報システム部門だけの課題ではなく、経営そのものの問題である理由は、本件に凝縮されており、この認識は、今や多くの経営層に共有されているが、問題はその先にあるとし、「対策しなければならない」とわかっていても、「では、何から手をつければよいのか」が、驚くほど見えにくいことを指摘している。
同記事では、見えにくさの原因の一つとして制度を挙げ、今は被害の予防と拡大防止を、個々の企業努力に委ねず、社会全体を守るための制度として、各国で急ピッチで整えられているが、多くの企業で、制度名、施行日、自社が対象かどうかを一覧表に整理しても「自社は何をすればよいのか」が見えてこず、制度を一つずつ追いかけるという発想そのものに、限界があると指摘している。
