経営者へ伝えるセキュリティ。今決めることを一枚にする

何が変わり、どの仕事に影響し、今何を決める必要があるか。確認できた範囲と一緒に伝える。

詳しい一覧より、今回必要な判断を示す

NCSCの経営層との対話の資料は、相手の関心と業務に沿って、サイバーリスクを分かりやすく伝えることを説明しています。SONAEは、兼任担当が経営者へ渡す資料として、今決めたい一件と、その理由を先に書く形を提案します。専門用語を減らすだけでなく、予算、停止時間、契約、残すリスクなど、相手の権限が必要な点を明確にします。すべての設定を一枚に縮めて、読むだけで判断できると期待しないようにしましょう。

事実と業務の影響を、短く結び付ける

対象、確認日、見つかった状態、影響する仕事を示します。古い端末が一台あるという数字だけでなく、受注処理に使い、更新のために停止調整が必要という説明を添えます。想定する影響と既に起きた被害を分け、分からない範囲も記します。架空の例を説明に使う場合は、実際の会社で観測した結果と取り違えない表記にします。攻撃の恐ろしさを大きく見せるより、判断の根拠を同じ資料からたどれることが重要です。

選択肢には、費用と残る条件を付ける

すぐに移行する、対象を限定して段階的に変える、暫定措置を期限付きで使うなど、可能な案を示します。それぞれの業務への影響、必要な作業、費用の見積条件、未確認を対応させます。何もしなければ必ず被害に遭う、買えばすべて防げる、という説明にはしません。見積りと正式な価格、目標と実測も分けます。経営者が選べる範囲と、専門家や契約上の確認が必要な範囲を明らかにしましょう。

数字は、比較できる範囲で使う

点検したサービス数、期限を超えた重要な課題、復元を確認した対象などは、範囲と確認日を添えます。前回と数え方が変わったなら、その理由を示します。確認できなかった対象を分母から外して達成率を良く見せたり、対策で防いだ損害を根拠なく計算したりしません。細かな表は別紙として残し、一枚の要約から必要な担当だけが参照できるようにします。秘密や個人情報を、経営資料だからと無制限に複製しないことも大切です。

決定事項と、担当が次にすることを残す

会議では、選んだ案、認めた費用や停止、責任者、期限、見直す条件を記録します。説明を聞いたという状態と、実行を承認した状態を混同しません。判断できなかった場合は、足りない情報と確認する担当を決めます。リスクを残す決定なら、範囲と条件を例外の管理へつなげます。毎回同じ背景説明を作り直すより、前回からの変化と未了の判断を示すと、経営者と担当の両方が次の仕事を追いやすくなります。

報告の価値を、決定と改善で確かめる

完了の目安は、相手が何を判断し、担当が何を実行するかを同じ言葉で説明できることです。一枚に収まったことや点数が上がったことだけを成果にしません。質問が繰り返される場合は、前提や選択肢の表現を見直します。経営層が技術の細部を知らないことを責めず、必要な専門支援につなぐことも担当の役割です。報告を安全の宣言ではなく、業務を続けるための判断と見直しを支える資料として使いましょう。

相談前の確認表

• 最初に今決めることを書く
• 事実と業務への影響を結び付ける
• 数字と費用に条件と未確認を添える
• 説明したことと実行の承認を分ける

参考資料（確認日：2026年10月23日）：NCSC：Engaging with Boards to improve cyber security risk management ↗

一般的な説明とSONAEの運用提案です。製品の公式条件と自社の管理責任者の判断を確認してください。