デジタルリスクマネジメント
デジタルリスクガバナンスの体制づくりや、サイバーセキュリティ対策など、企業のデジタルリスクマネジメントを包括的に支援
DXが本格化する中、リスクマネジメントへの取り組みの難しさが明らかになってきています。近年では、データ保護リスク、事業継続リスク、倫理リスク、クラウドリスクなど多岐にわたるインシデントが頻発しています。一方で、GDPR（EU一般データ保護規則）＊1やNIST SP800-171＊2などデジタル関連の国際的なレギュレーションやガイドラインなどのルール策定が進んでおり、日本国内でも追随する動きとなっています。
DXの信頼性を確保するためには、「システムの安全・安心」に加えて、「データの安全・安心・品質確保」に経営のアジェンダとして取り組む必要があります。具体的には、「パブリッククラウドの利用を前提とした安全性の確保」、「フィジカル空間とサイバー空間が“つながるリスク”への対応」、「リスク発現時のビジネスインパクトの可視化」などをCDO、CRO/CISOが協調しながら従来のリスクマネジメントから変革していく必要があります。
- ＊1：個人データやその取り扱いについてEU各国に適用される個人情報保護法。EUを含むEEA（欧州経済領域）内で取得した氏名、メールアドレスやクレジットカード番号などの個人データをEEA外に持ち出すことを原則禁止している。
- ＊2：NIST（米国国立標準技術研究所）が作成したサイバーセキュリティの基準を示すガイドライン。
Ridgelinezでは、デジタルリスクガバナンスの体制づくりや、デジタルコンプライアンス、サイバーセキュリティ対策、ビジネスレジリエンスなど、企業のデジタルリスクマネジメントを包括的に支援します。
Ridgelinezは、DXの推進と共に、従来のITリスクやセキュリティリスクに対する基本的な考え方を転換させる時期に来ていると考えています。
例えば、従来のように2線と呼ばれるリスクマネジメント部門が社内ルールを詳細に設計し、それをリスクオーナーである1線のビジネス部門が盲目的に順守するようなアプローチでは、変革や新しい技術の導入にルールのアップデートが追い付かなくなっています。
変革の実現は環境変化への適応でもあり、それが常態化する時代のリスクマネジメントは、ルールベースからリスクベースのアプローチへと変革させる必要があります。具体的には、ビジネス部門が複数の関連するリスクマネジメント部門と協調しながらリスクリテラシーを向上し、自らDXの信頼性を確保するということです。
Ridgelinezは、DXの信頼性確保に向けて、ポリシーや基本原則を順守・実践するためのセキュリティCoE（Center of Excellence）やデータドリブンリスクマネジメントなどを構築することで、人やテクノロジーを媒介したデジタル時代に即したプラクティカルなリスクマネジメントのデザインに取り組んでいきます。
デジタルリスクマネジメント 事例紹介
-
防衛産業におけるデータセキュリティ（NIST SP800-171対応）策定支援
防衛産業に関わる大手メーカーのクライアントにおいては、国内外の防衛関連事業の拡大にあたって、米国での法規制動向を踏まえNIST SP800-171への対応を検討していました。
Ridgelinezは、業務プロセスや重要データ管理の実態、情報システムにおけるセキュリティ対策等の現状把握を行い、NIST SP800-171および関連基準についての専門的・実践的な知見から策定したRidgelinez独自の評価フレームワークを基にリスクアセスメントを実施、クライアントにおける課題の明確化を行いました。
これにより、クライアントにおける重要データ保護に関する課題が明確化され、具体的な対応策の策定が可能になりました。
-
重要インフラ企業におけるクラウドセキュリティ態勢構築支援
ある重要インフラ企業であるクライアントでは、現場での作業効率化や新たな価値創出の検証に向けてクラウドの活用が急速に増加し、セキュリティ規程の見直しや、クラウドセキュリティの対応が急務となっていました。
Ridgelinezは、クラウドとリスク・セキュリティの知見を活用し、クライアント現場でのクラウド利用内容の理解と重要インフラ企業として担う責務を考慮したリスクアセスメント、リスク管理をデザインすることで、現場の利用目的に応じたクラウドセキュリティのマネジメント、オペレーション、テクノロジーの対応策を支援しました。
これによりクライアントでは、大手パブリッククラウドや各種SaaSを含めたクラウドセキュリティのガードレールが整備され、セキュアにクラウド利用を推進することができるようになりました。
-
自動車メーカーにおけるセキュリティプロセス整備支援
自動車を販売するためには国連WP29（自動車基準調和世界フォーラム）で定めているサイバーセキュリティ法（UNR155/UNR156）＊3対応が必須となっています。このサイバーセキュリティ法では、自動車としてのセキュリティ対策（型式認証）と共に、組織としてのセキュリティ対策（プロセス認証）を求められています。
この認証制度に対応するために、セキュリティ推進部門の立ち上げをはじめとしたセキュリティ面のルール、サプライヤー管理、監査、教育、インシデント対応訓練などのプロセス整備全般を行ってきました。
Ridgelinezは、クライアントがこれらの活動を自律的に行い、自動車設計部署、システム設計部署と共に安全な自動車を提供できるように支援しています。
- ＊3：自動車のサイバーセキュリティ対応に関する国連標準。サイバーセキュリティ管理（UNR155）とソフトウェアアップデート管理（UNR156）についての規則は、主に組織に関する要件と車両に関する要件で構成される。