日本電気株式会社（NEC）は7月10日、サイバーセキュリティのグループガバナンスに関する指針について、同社セキュリティブログで発表した。籾山悟至氏が執筆している。
同ブログでは、主要な公開情報からグループ企業へのセキュリティガバナンスに関する項目を収集し、ガバナンスの指針に関して考察している。
同ブログでは、サプライチェーン企業をはじめとする自社との関わりのある企業群の中で、最も自社に近い立ち位置の一つと考えられる自社のグループ会社について、サプライチェーン企業の一種と位置付けてセキュリティ対策の実現を整理しているガイドラインも多いが、複数の観点でグループ会社と自社の関係はサプライチェーン企業とのそれとは異なっているとしている。
同ブログでは、このような違いに着目した場合、グループ会社へのセキュリティガバナンスにサプライチェーン企業と全く同じ方針を適用することは実効性や効果の面から必ずしも適切ではないとし、グループ会社への有効なセキュリティガバナンス活動の実現のため、グループ会社へのセキュリティガバナンスに関する情報を可能な限り収集し、考察を行っている。
同ブログで扱ってきた文献から、グループガバナンスはグループ全体での内部統制、リスク管理といった形で要請されており、サイバーセキュリティ対策もこの範疇に入ることが分かっている。さらに、実際の活動方針として単一組織内のガバナンス活動を規定した文書、あるいはサプライチェーンなどの複数のステークホルダーが関わる活動を規定した文書がグループガバナンスと整合する内容であることも判明している。
グループ全体のガバナンスポリシーは統一的な基本方針として策定する必要がある一方、管理策やプロシージャといったより具体的なセキュリティ対策についてはグループ各社のビジネス内容や事業の意思決定権に沿って決定する必要があることも指摘されており、この点はグループ企業とサプライチェーン企業との違いが大きく関わっている点と考えられるとしている。
