CIO・CISOとは？役割の違いと情シスとの関係

CIOとは、Chief Information Officer（最高情報責任者）の略で、会社のIT戦略とIT投資、情報システム全体に経営の立場から責任を持つ役職です。CISOはChief Information Security Officer（最高情報セキュリティ責任者）の略で、情報セキュリティのリスクを経営の判断として管理する責任者を指します。

どちらも会社法で定められた役職ではなく、会社が任意に置く呼び名です。そのため、名前だけあって権限も予算もない形で置かれることもあります。CxOの一覧、CIOとCISOが対立する場面と利益相反、情シスとの役割分担表、小さな会社での置き方、CISOの職務記述書のひな形、情シスから目指すときに集めたい経験を順に扱います。なお「CIO」は同じ綴りの周辺機器ブランドの名前としても検索されますが、ここで扱うのは役職です。

CIOとは・CISOとは：CxOの一覧で位置を確かめる

CxOは「Chief ○○ Officer」の形をした役職名の総称で、米国企業の経営幹部の呼び方から広まりました。日本では法律上の役職ではないため、取締役が兼ねる会社もあれば、執行役員や部長級に付ける会社もあります。名前より、何の最終責任を持ち、どんな権限と予算があるかで中身を判断します。

CIOとCTOの境界が問題になるのは、自社でWebサービスや製品を作っている会社です。顧客に提供する製品の技術はCTO、社員が使う社内のITはCIO、と分けるのが一般的ですが、自社サービスのクラウドと社内システムのクラウドが同じ契約に同居していると、費用とセキュリティの責任がどちらにあるか曖昧になります。クラウドのアカウント（契約）を分けるのが、最も確実な線引きです。

CIOとCISOの違い：意見が割れる場面と利益相反

CIOの成果は「ITで事業を速く・安く・便利にすること」、CISOの成果は「情報セキュリティのリスクを、経営が受け入れられる水準に抑えること」です。向きが違うので、同じ案件で意見が割れるのは正常な状態です。問題は、割れたときの決め方が決まっていないことです。

CISOをCIOの部下として置くと、この対立がCIOの組織の内側で処理され、経営からは見えなくなります。CIOにとって、セキュリティの指摘は自分の組織の成果への注文でもあるからです。規模の大きい会社がCISOをCEOやリスク管理の委員会へ直接報告させるのは、この利益相反を避けるためです。CIOがCISOを兼ねる会社でも、四半期に1回はセキュリティのリスクだけを議題にした報告を経営会議に出し、判断を経営に委ねる形にしてください。経済産業省とIPAのサイバーセキュリティ経営ガイドラインも、セキュリティを経営者が主導して責任者と体制を置くべきリスクとして扱っています。

情シスとの関係：役割分担表（RACI）

表の記号は、Rが実際に手を動かす役、Aが最終的な責任者、Cが決める前に意見を求められる役、Iが決まった結果の報告を受ける役を表します。表で見てほしいのは「リスクの受容」の行です。予算や業務の都合で対策を見送ると決めるのは、情シスでもCISOでもなく経営です。CISOの仕事は、見送った場合に何が起きうるかを経営が判断できる言葉で説明し、判断を記録に残すことです。情シスが自分の判断でパッチを見送り、その間に被害が出ると、責任を負うべきでない人が責任を負うことになります。

情シスの担当者を、権限も予算もないまま「CISO」や「セキュリティ責任者」に任命するのは避けてください。インシデントが起きたときに責任だけが集まり、平時には例外の承認も予算の要求もできません。任命するなら、後述の職務記述書にある権限を一緒に文書で渡すことが条件です。

CIO・CISOがいない会社で起きること

役職がないこと自体は問題ではありません。問題は、役職が担うはずの判断が誰のものでもなくなることです。次の症状が2つ以上当てはまるなら、名前はともかく、その判断を持つ人を決める時期です。

• IT投資が部門ごとの予算で決まり、同じ機能のSaaSが部門の数だけ契約されている
• セキュリティ規程の例外が現場の判断で積み上がり、誰がいつ認めたかの記録がない
• インシデントが夜間に起きたとき、システムを止めるか、社外に公表するかを決める人が決まっていない
• 情シスの報告が経営会議に届く経路がなく、リスクの話が予算の議論に乗らない

情シスの側からできるのは、当てはまる症状を具体的な出来事つきで書き出し、上の役割分担表の案を添えて、判断を持つ人の任命を経営に提案することです。「CIOを置いてください」と役職名から入るより、「この4つの判断を誰が持つか決めてください」と判断から入る方が、兼任の役員を指名するだけで済むことが多く、通りやすくなります。

小さな会社での置き方：専任・兼任・外部の判断表

2行目の会社は、ISMSで置く推進体制と役割をそろえると二重管理を避けられます。体制の組み方はISMS認証取得の進め方で扱っています。3行目の上場企業や上場準備中の会社では、内部統制報告制度の評価でITの統制を誰が持つのかを問われるので、IT全般統制とはで整理した4つの領域ごとに責任者を決めておきます。

外部のバーチャルCIO・CISOを使う場合は、契約書に「助言」と「決定」の範囲を書き分けてください。外部の専門家は方針案や訓練の設計に強い一方で、社内の人事や予算を動かす権限はありません。インシデントの夜に誰が決めるのかが曖昧なまま契約すると、肝心な場面で判断が止まります。

CISOの職務記述書のひな形

任命するときは、責任と権限をセットで1枚にします。次のひな形は、役員が兼任するCISOを想定した最小限の項目です。

職務記述書：最高情報セキュリティ責任者（CISO）
任命者：代表取締役　　任期：○年○月から1年（再任可）

【責任】
・情報セキュリティ方針と関連規程の原案を作り、経営会議に諮る
・年1回のリスクアセスメントを統括し、対応計画を経営に提案する
・インシデント発生時の対応を指揮し、報告と公表の判断材料をそろえる
・従業員教育と訓練の計画を承認し、実施状況を確認する

【権限】
・セキュリティ例外（規程から外れる運用）の承認と、その期限の設定
・重大な脆弱性やインシデントに対し、システムの停止や隔離を指示すること
・セキュリティ予算の要求を、IT予算とは別に経営会議へ出すこと
・外部の専門家（調査会社、弁護士など）への依頼を、上限額○円まで即時に決めること

【報告】
・四半期ごとに、リスクの状況と対策の進み具合を経営会議へ報告する
・重大インシデントは、発覚から○時間以内に代表取締役へ報告する

権限の4つ目は見落とされがちですが、インシデントの初動で最も効きます。フォレンジック調査の依頼や弁護士への相談をそのたびに稟議で決めていると、その間に証拠が消え、関係先への報告も遅れます。上限額と依頼先を平時に決めておき、CISOがその場で決められるようにします。インシデント対応チームの作り方はCSIRTとはで扱っています。

情シスからCIO・CISOを目指すときに集める経験

CIOやCISOに求められるのは、技術の深さより、技術の判断を経営の言葉で説明し、予算と人を動かした経験です。担当者のうちから次の経験を意識して集めておくと、役職に就いたときの立ち上がりが違います。

• 自分で書いた稟議が承認された経験：比べた選択肢と、却下した案の理由まで説明できる
• 経営会議でリスクを説明した経験：技術用語を使わず、止まる業務と取れる選択肢で話す
• ベンダーとの契約交渉の経験：価格だけでなく、解約条件や責任の分担を交渉した
• インシデント対応の指揮、または机上訓練の進行役の経験
• 監査を受ける側の経験：内部監査、ISMSの審査、取引先からのセキュリティ監査

5つとも、情シスの担当者のうちに経験できるものです。上長に「次の稟議は自分に書かせてほしい」「訓練の進行役をやらせてほしい」と申し出るのが最短の道です。情シスのキャリアの分かれ道全体は、情シスとはのキャリアの項にまとめています。

よくある質問

CIOとCEOの違いは何ですか？

CEOは経営全体の最終責任者で、CIOはそのうちIT戦略、IT投資、情報システムについて責任を持つ役職です。CIOはCEOの下で、ITを経営の目標にどう結びつけるかを考え、予算と体制を提案します。大きな投資の最終判断や、セキュリティのリスクを受け入れるかどうかは、CEOを含む経営会議が決めます。

CIOとCTOの違いは何ですか？

一般に、CIOは社員が使う社内のIT（業務システム、ネットワーク、SaaS、端末）に、CTOは顧客に提供する製品やサービスの技術に責任を持ちます。自社でWebサービスを作る会社では両方を置くことが多く、CTOを置かずCIOだけの会社もあります。クラウドの契約を分けておくと、両者の責任の線が引きやすくなります。

CIOの年収はいくらですか？

会社の規模や業種、取締役を兼ねるかどうか、専任か兼任かで大きく変わり、1つの水準では示せません。役員を兼ねる場合は役員報酬として決まり、執行役員や部長級に付ける場合は社内の等級で決まります。転職市場での水準は、経営幹部向けの求人情報や報酬調査を複数見比べて確かめてください。

まとめ

CIOはITで事業を前に進める責任者、CISOはセキュリティのリスクを経営が受け入れられる水準に抑える責任者で、向きが違うから意見が割れます。その対立を経営に見える形で扱うことが、両者を分けて置く理由です。兼任の会社でも、リスクの受容は経営が決めること、CISOに権限と報告の経路を文書で渡すことの2つを守れば、役職は名前だけで終わりません。

次に読む

• CSIRTとは？小さな組織で作るインシデント対応チームの現実解
• IT全般統制とは？監査対応で情シスが準備すること
• 情シスとは？業務内容・社内SEとの違い・ひとり情シスを乗り切る方法