この記事は、中小企業・中堅企業の経営者・IT担当・総務部門が社内のセキュリティガバナンスを設計するうえで役立てていただくことを想定しています。委託先・取引先のセキュリティを点数化したい調達・購買担当者は姉妹記事「委託先セキュリティスコアカード」を合わせてご確認ください。
経済産業省とIPAは、デジタルガバナンス・コードに沿ってDXで成果を上げた中堅・中小企業等の優良事例を選定する「DXセレクション」を2022年から実施しています。2026年5月20日に最終選考と表彰式が開催され、DXセレクション2026として「グランプリ」1者・「準グランプリ」2者・「優良事例」8者の計11者が選定されました（DXセレクションの累計選定数は2022〜2025年で延べ83者）。
DXセレクションで評価される企業に共通しているのは、DXとセキュリティを切り離さない点です。受発注データのデジタル連携を推進しながら、セキュリティ責任体制と訓練サイクルを経営として管理している企業がモデルケースとなっています。
しかし、「セキュリティ責任者を置く」「BCPを作る」と言われても、専任のCISO（最高情報セキュリティ責任者）を雇う予算がない中小企業には具体的な手順がわかりにくいです。本記事では、兼務でも機能するCISO的役割の定義と、予算・BCP訓練の設計手順を整理します。
中小企業でCISOが必要な理由
CISOが必要なのは大企業だけという誤解があります。しかし、サプライチェーンを通じた攻撃では、大企業の取引先である中小企業がエントリーポイントになるケースが増えています。IPAの「情報セキュリティ10大脅威 2026」でも、「サプライチェーンや委託先を狙った攻撃」が上位にあがり続けています（IPAが毎年公表）。
中小企業でCISOが果たすべき役割は、専任の技術者ではなく「経営会議でセキュリティリスクを報告し、判断を得る人」です。兼務でも、次の3点を担えれば機能します。
| 役割 | 内容 | 最小単位の実施方法 |
|---|---|---|
| 経営報告 | セキュリティリスクを経営会議で定期報告する | 四半期ごとに1枚のリスク報告書を提出 |
| 委託先管理 | IT委託先のセキュリティ状態を確認する | 年1回のセキュリティ確認シートを送付・回収 |
| インシデント初動 | 事故疑いが発生したときに最初の判断をする | 連絡フローと初動手順書を1枚で保持 |
セキュリティ予算の設計：コストではなく経営リスク管理費として
中小企業でセキュリティ予算が削られる最大の理由は「直接売上につながらないコスト」と見なされることです。DXセレクション選定企業の取り組みから読み取れる発想は、セキュリティ投資を「事故が起きたときの損失額」と比較する枠組みで捉えることです。
セキュリティ予算の組み方
予算を次の4カテゴリで整理し、経営会議に提示します。
| カテゴリ | 内容 | 中小企業の最低ライン |
|---|---|---|
| 基盤維持 | OS・ソフトウェアの更新、アンチウイルス、バックアップ | 年間コストの把握と計画的更新 |
| 教育 | 社員向け訓練（フィッシング模擬、情報セキュリティ研修） | 年1回全員、半日研修 |
| 外部監査・診断 | 脆弱性診断、委託先確認 | 2年に1回以上 |
| インシデント対応準備 | 対応手順書の維持、緊急連絡先の更新、模擬訓練 | 年1回の手順確認 |
予算承認を得るために、「事故が発生した場合の最悪コスト（業務停止日数×売上／日、顧客情報漏えいの補償費など）」を試算して添付します。保険料の比較と同じ論理です。
BCP設計の3ステップ
BCPは文書を作ることが目的ではなく、実際にインシデントが発生したときに業務を止めずに動けることが目的です。中小企業に必要な最小限のBCPは3ステップで設計できます。
ステップ1：止まると困る業務の順位付け
全業務をリストアップし、「この業務が3日止まると経営に致命的な影響が出るか」を基準に優先順位を付けます。
| 優先度 | 基準 | 例 |
|---|---|---|
| 最優先（3日以内に再開が必要） | 売上・入金・顧客との契約に直結 | 受注処理、請求、顧客対応 |
| 優先（1週間以内に再開） | 内部業務で停止が続くと支障が出る | 在庫管理、社内連絡 |
| 通常（2週間以内でよい） | 遅延しても外部への影響が限定的 | 社内報告、採用業務 |
ステップ2：各業務の代替手段を決める
最優先業務について、システムが使えなくなった場合の代替手段と責任者を記録します。
| 業務 | 通常手段 | 障害時の代替手段 | 代替手段の責任者 |
|---|---|---|---|
| 受注処理 | 受注管理システム | 電話＋Excelシート、担当者PC | 営業部長 |
| 請求・入金確認 | 会計システム | 通帳PDF確認＋手動台帳 | 経理担当 |
| 顧客連絡 | メール・CRM | 電話連絡リスト（印刷版を保管） | 営業担当者 |
ステップ3：年1回の机上訓練
「サーバが停止した」「ランサムウェアが感染した」などのシナリオを使い、手順通りに動けるかを確認します。訓練で見つかった穴を手順書に反映します。年1回では少ないと思うかもしれませんが、訓練ゼロと年1回では対応速度が大きく変わります。
退職・異動カスケード障害BCP診断を使うと、特定の担当者に依存した運用リスクを事前に確認できます。
経営報告書のリスク項目例
CISO的役割が経営会議に提出するリスク報告の構成例です。
| 項目 | 内容 | 今期の状況例 |
|---|---|---|
| 未対処の重大脆弱性 | OSやソフトウェアに放置されている高リスクの更新 | 2件（来月中に対応予定） |
| インシデント発生 | フィッシングメール報告、不審アクセス等 | フィッシング報告3件（被害なし） |
| 委託先の確認状況 | IT委託先へのセキュリティ確認シートの回収率 | 回収率80%（2社未回答・フォロー中） |
| 予算実績 | セキュリティ投資の計画対実績 | 計画比90%（訓練実施済み） |
| 次期の優先対応 | 来期に取り組むべきリスク項目 | 多要素認証の全社導入（Q3予定） |
このフォーマットを毎回使うと、経営会議でのやりとりが「今期も問題なし」から「具体的な数値と次の判断」に変わります。
中小企業向けセキュリティ優先ガイドに、リスク優先順位の整理手順も合わせて記載しています。
GXOはどう支援するか
GXOでは、中小企業のCISO的体制の設計から、セキュリティ予算の経営説明資料、BCP手順書の作成まで支援します。初回相談では、現在のIT環境、委託先の状況、事故発生時の連絡フロー、経営会議への報告有無を確認し、どの体制整備から優先するかを整理します。
フィッシング模擬訓練や脆弱性診断の設計、委託先向けセキュリティ確認シートの作成まで含めてご相談いただけます。
よくある質問
Q1. 中小企業にCISOは必要ですか
専任CISOは不要です。ただし、経営会議でセキュリティリスクを報告し、初動判断を担う「CISO的役割」を1人決めることは、規模に関わらず必要です。この役割がいない会社はインシデント発生時の初動が遅れます。
Q2. BCPはどのくらいの分量で作ればよいですか
最初はA4で1〜2枚で十分です。全業務を網羅しようとすると作成が止まります。まず最優先業務3つの代替手段と連絡先を決めることから始めます。
Q3. セキュリティ予算がとれません。どうすればよいですか
「万が一の損失額」と比較する形で稟議を書くことをおすすめします。「ランサムウェアで3日業務停止した場合の売上損失額＋復旧費」が予算額を大きく上回る場合、投資の説明がしやすくなります。
参考情報
- 経済産業省「DXセレクション（中堅・中小企業等のDX優良事例選定）」：https://www.meti.go.jp/policy/it_policy/investment/dx-selection/dx-selection.html
- 経済産業省「DXセレクション2026最終選考進出11者決定」：https://www.meti.go.jp/press/2026/04/20260410001/20260410001.html
- IPA「情報セキュリティ10大脅威」：https://www.ipa.go.jp/security/10threats/
中小企業のCISO・予算・BCP設計を一緒に進めませんか
GXOでは、CISO的役割の設計、セキュリティ予算の経営説明資料化、BCP手順書の作成まで、中小企業の実態に合わせた形で支援します。