野村総合研究所とNRIセキュアは2026年10月22日、「サイバーレジリエンス経営支援」の提供を開始しました。AI駆動型サイバー攻撃に備え、被害が広がる前に自社の判断でシステムを止める基準と、再開する基準を平時から整えるサービスです。情シスだけで対応を決めるのではなく、事業への影響を踏まえた経営陣の合意形成まで支援します。
「止める損失」と「止めないリスク」を経営で判断
サイバーレジリエンスは、攻撃を受けても事業への影響を抑え、回復する力を指します。今回の支援では、サービスや社内システムの停止が事業に与える影響を、金額と金額以外の両面から分析します。
影響額には、対応費用、違約金・損害賠償、顧客補償、収益機会の損失などを含めます。金額にしにくい社会的影響や、顧客・取引先との信頼関係、ブランドへの影響も整理します。
そのうえで、システムやサービスごとに、停止・再開の判断者と基準を事前に決めることを目指します。攻撃の検知から停止判断までの行動と手順、停止中の顧客対応、再稼働の判断手順も整備します。被害拡大や停止の長期化を抑える一方、不要な停止による機能低下も抑える方針です。
脆弱性への対応も対象です。弱点に攻撃が届く難しさと事業への影響を基に優先順位を付けます。対応を保留する場合の暫定策、承認者、見直し期限も、あらかじめ決めることを目指します。
短期は2～3か月、経営陣との合意形成まで支援
支援は経営・セキュリティ・システムの3領域で行います。野村総合研究所の経営コンサルタントとシステムエンジニア、NRIセキュアの専門家が合同で担当します。
短期支援の期間は2～3か月です。現状把握、基準づくり、運用設計、経営合意の4段階で進め、攻撃対応の必要性と方針について経営陣の合意形成を目指します。
推進委員会には、最高経営責任者のCEO、情報セキュリティ責任者のCISO、情報統括責任者のCIO、財務責任者のCFOが参加します。投資家向け広報を担うIR・法務担当や事業担当役員も加わります。個別の聞き取りで認識の違いを整理し、グループ会社・委託先への判断の伝達経路や役割分担も整えます。
中期支援は半年程度、長期支援は1年以上です。中長期では、修正プログラムを適用するプロセスの再構築、AI活用の診断、運用自動化、AI利用状況の可視化を支援します。システム構成の再設計やバックアップシステムの構築も対象です。
影響する会社・しない会社
- 影響する: EC・デジタル事業者、グローバル製造業、金融機関を含む重要インフラ事業者などが主な対象です。停止が事業に与える影響と、停止・再開の判断体制を整理したい会社の検討材料になります。
- 影響する: AI駆動型サイバー攻撃への対応力を強めたい企業・組織が対象です。特定の業種だけに限定した支援ではありません。
- 影響しない: 対象外となる企業規模、利用システム、契約条件は発表には書かれていません。主な対象業種に入っていないことだけで、自社は対象外と判断しないようにします。
情シスが今日やること
以下は、発表の支援内容を踏まえた社内確認の手順です。導入を決める前に、判断体制の不足を整理するためにも使えます。
- 今日の確認では、既存の障害対応手順や事業継続計画を開き、システムごとの停止判断者と再開判断者を探します。担当者や判断基準が書かれていない箇所を一覧にします。
- 事業部門・財務・法務に、その一覧を共有します。停止時の収益機会の損失、補償、違約金などについて、試算に必要な情報を依頼します。信頼関係など、金額だけでは判断できない影響も併記します。
- 脆弱性対応の管理記録で、保留中の案件を確認します。暫定策・承認者・見直し期限の記載があるかを点検し、不足をセキュリティ責任者に伝えます。期限が未設定なら、責任者と設定する段取りを決めます。
- 次の経営会議に向け、停止・再開の判断で未決定の事項をまとめます。グループ会社・委託先への連絡担当、停止中の顧客対応、対外説明の担当も確認し、経営側に決めてほしい事項として提出します。
