取締役会で執行側に聞ける17の問い——国の注意喚起17項目を3列の形に

【主に取締役・監査役の方へ】「大丈夫です」と返ってきたとき、何を見せてもらえば確かめられるか。聞く言葉・見せてもらう物・「分からない」の意味の3列。まず3つ、約5分から。無料・登録不要。

「大丈夫です」は、確かめた証拠ではありません。物を見せてもらうための17行です。

「うちは大丈夫か」と聞いて「大丈夫です」と返ってくる。取締役会でよくある往復ですが、これでは確かめたことになりません。

確かめるには、何を見せてもらえばよいかを知っている必要があります。

先日プレスリリースした点検表53問（10月26日）は、会社を動かす側（執行側）が自社の現在地を答える表でした。

今回の17の問いは、その答えを外から見る立場（取締役・監査役）が確かめる表です。同じ項目番号で対応しています。

答える表（点検表53問）は作りました。次に要るのは、答えが出てこない場所を見つける表（この17の問い）です。

入手方法

当社のサイトから無料で入手できます。登録は不要です。

・17の問い（PDF）　https://www.securoi.com/whitepapers/board-oversight-questions.pdf

　※本表の項目は、NIST の枠組みの統治の区分、サイバーセキュリティ経営ガイドラインの10の指示、ISO/IEC 27001 附属書 A の管理策と対応づけて、内部で点検しています（対応表は非公開）。　　

・無料の資料の一覧　https://www.securoi.com/downloads

警察庁の資料では、2026年上半期のランサムウェア被害の報告が123件でした。被害組織へのアンケートで、感染経路の有効回答36件のうち18件が VPN 機器です。バックアップからの復元は、有効回答40件のうち29件が復元できず、その29件のうち14件はバックアップ自体が暗号化または消去されていました。

個人情報保護委員会の年次報告では、漏えい等元が委託先で原因が不正アクセスだったものが328件でした（2025年4月1日から2026年3月31日）。

2026年10月に国内で公表が続いた事案では、事業者自身が「社内の専門家から改善すべき課題が事前に指摘されていた」と説明しています。対応については「可用性への影響や他の対処事項との優先順位を考慮しながら慎重に対応を進めた結果、対応の深度とスピードが十分ではなかった」と述べています。指摘が届いていても、止めるか続けるかを決める人と基準が無ければ、指摘は机の上で止まります。この17の問いは、その「決める人と基準」を、監督側から確かめるための言葉です。

今回は、主に取締役・監査役の方に向けたものです。執行側（社長・執行役員・情報システムの責任者と担当者）に対して、外から見る立場の方が何を聞けばよいか、という表です。

次回は、主に社長と情報システムの責任者へ。止めるか続けるかを自分たちで決める立場の方に向けた1枚です。その次は、主に外部サービスや委託先を使っている会社の担当者へ。預けている先に何を聞くかの7つです。

3枚で、誰が誰に聞くかが一通りそろいます。3枚とも同じ物差しの上に載せています。決めるまでの日数、期限付きで続けている件数、見ていない範囲、止める人が決まっている割合、気づいた経路の5つです。取締役会で「この5つは測っていますか」と聞くだけでも、入口になります（次回以降に詳しく示します）。

10月までに、外の状況（10月21日）と、自社で答える点検表（10月26日）を配りました。点検表は「自社がどこまでできているか」を自分で書く表です。

今回以降の3つは役割が違います。書いた答えを外から確かめる（今回：11月4日）、答えが出てこなかった所を誰がいつ決めるかを決める（次回）、自社では答えようのない預け先の分を聞く（その次）。

同じことを繰り返すのではなく、答えの後ろにある3つの穴をふさぐための物です。どれか1つだけ使っていただいて構いません。

17項目それぞれに3つの列を足した表です。表の左から、聞く言葉（専門用語なし）、見せてもらう物、「分からない」と返ってきたときに何を意味するか。A4 の横向きの PDF（3ページ）で、無料で配ります。

答えが「はい」でも「いいえ」でも、まず「見せてもらう物」を出してもらってください。物が出てこない「はい」は、「分からない」と同じです。

17のうち、入口（2番）、アカウント（7番）、侵入の跡（12番）の3つだけを聞いてください。点検表の「今日の3問」と同じ3つです。取締役会で3問なら、約5分です。

2番は、社外から見える機器やソフトの一覧があり、実際に攻撃に使われている弱点が残っていないことを、誰がいつ確かめたか。

7番は、管理者・VPN・クラウドの管理画面・メールに、パスワード以外の確認がかかっているか。管理者に1人でも未登録がいないか。

12番は、公開しているサーバーに身に覚えのないファイルや説明できない変更が無いことを、直近で誰が確かめたか。

「見せてもらう物」が出てこない項目が、次の取締役会までの宿題です。

今月の取締役会を1回使って、3つを聞く。「見せてもらう物」が出れば合格、出なければ次回までの宿題。今月はここまでで構いません。

17を全部聞く必要はありません。点検表の53問を今期に全部埋める必要もありません。「いつまでに、どこまで」は3段で考えてください。

・今週＝17の問いのうち3つを聞く。答えが出てこない場所が分かります。

・今月＝判断表の7欄を埋め、委託先1社に7つの問いを送る。止める判断と第1報の書き方が決まります。

・四半期＝点検表53問を埋める。前期との差が数字で言えます。

満点は目標にしていません。今月の段まで来れば、取締役会で説明できる状態です。

ISMS は、管理の仕組みがあることを審査で見ます。この表が残すのは、その仕組みの中で誰が何を決めたかの記録です。

P マークは、委託先の監督を求めます。この表の4番（委託先）と、次回以降に配る質問票が、その監督の実物になります。

サイバーセキュリティ経営ガイドラインは、経営者が出す10の指示を示しています。この17の問いは、その指示を出した後に、監督側が何を見せてもらえば確かめられるかを書いた表です。

NIST の枠組みは、2024年の版で統治の区分を足しました。この表は、その区分が求める監督を、取締役会で実際に聞ける問いに落とした形です。

新しい要求を足すものではありません。既にある枠組みが求めている経営の関与を、測れる形にしています。

この表は商品ではありません。国の注意喚起は出ていますが、取締役会でそのまま使える形にした物が見当たらず、自分たちで作りました。1社ずつが同じ物を作り直すより、配った方が早いと考えています。

使っていただいて、合わない所があれば教えてください。次の版で直します。

代表コメント

社外取締役の方から「点検表の問いの半分以上が理解できない」というお返事をいただきました。いただいた中で、いちばん役に立つ指摘でした。点検表は執行側が答える前提で書いており、監督側が読む言葉になっていませんでした。この17の問いは、その指摘から作り直したものです。答えられないことを責めるための表ではありません。「分からない」は、次に確かめる場所です。

■ 会社概要

・会社名：合同会社SecuROI（法人番号：5011203005053） 

・代表者：代表社員 小山 幸輝（Yoshiki Koyama） 

・代表者の経歴：情報システム・セキュリティの現場に20年以上。警察庁関連（犯罪対策支援）を経て、大手監査法人グループのセキュリティコンサルティングファームで監査対応・セキュリティコンサルティングに従事。その後、事業会社のセキュリティ部門マネージャー・アドバイザーとして、統制の内製化とIPO準備の実務を担う。

・事業内容：成長企業向けIT統制・セキュリティ診断SaaSの提供 

・サービス：SecuROI（セキュロイ）｜https://www.securoi.com 

・お問い合わせ：support@securoi.com