読み方：じょうほうセキュリティいいんかい

情報セキュリティ委員会【information security committee】

概要

情報セキュリティ委員会とは、企業などの組織の情報セキュリティに関する方針や対策を審議・決定するために設置される社内組織。経営層と情報システム部門、法務、総務、人事などが参加し、組織全体で統一したセキュリティ水準を維持する。

構成員は組織によって異なるが、最高情報セキュリティ責任者（CISO）や情報システム部門の責任者に加え、事業部門や法務、総務、内部監査などの担当者が参加することが多い。経営判断が必要な課題を扱うため、委員長を経営層が務める例も少なくない。

主な活動は、情報セキュリティ基本方針の策定や改定、対策の優先順位や予算の決定、社員への教育・啓発活動の企画である。サイバー攻撃や情報漏洩といったインシデントが発生した際には、被害拡大を防ぐための対応方針を決定し、原因究明や再発防止策を指揮する役目も担う。監査結果や教育の実施状況について報告を受け、必要に応じて改善を指示することもある。

情報セキュリティ委員会は、情報セキュリティマネジメントシステム（ISMS）の運用においても重要な位置づけとなる。ISMSでは組織の状況を定期的に確認し、リスクを評価し、対策の有効性を継続的に見直すことが求められる。委員会は各部門から報告された情報を集約し、経営方針と整合した改善策を検討する場として機能し、単なる会議体ではなく組織全体のセキュリティガバナンスを維持するための意思決定機関として運用されることが多い。

従来、情報セキュリティに関する管理はシステム部門が個別に対応することが多かったが、サイバー攻撃の高度化や法令順守の重要性の高まりに伴い、経営水準での意思決定が必要となった。情報の取り扱いに関するリスクについてシステム部門だけでなく営業や人事、総務、法務など業務横断的、部門横断的な視点で対策を検討する必要があり、コーポレートガバナンスの一環として情報セキュリティ委員会を常設する組織が増加している。近年ではクラウドサービスや生成AIの利用拡大、サプライチェーン全体のリスク管理なども審議の対象に含まれるようになっている。