NRIとNRIセキュア、「サイバーレジリエンス経営支援」を開始
公開日:
野村総合研究所（NRI）とNRIセキュアテクノロジーズは2026年10月22日、「サイバーレジリエンス経営支援」の提供を開始しました。サイバー攻撃に備え、システムを停止・再開する判断基準や意思決定の手順を経営層が平時に整えるサービスです。短期支援では約2〜3か月で現状把握から経営陣の合意形成まで進めます。主な対象はEC・デジタル事業者、グローバル製造業、金融機関などの重要インフラ事業者です。
ポイント
- 1経営層向けに停止・再開の判断基準と意思決定手順を整える新サービス
- 2短期支援は約2〜3か月で、現状把握から経営陣の合意形成まで対応
- 3EC・デジタル事業者や製造業、金融機関などを対象に事業影響を分析
背景：攻撃の高速化で経営判断の難度が上昇
NRIセキュアは、脆弱性の公開から悪用までの期間について、2018年時点では平均約2.3年だった一方、近年は公開後数時間から1日程度で悪用が確認される事例もあると説明しています。
同社が挙げる課題は、被害が広がる前にシステムを止めるか、事業を継続するかという経営判断です。不要な停止による事業への影響と、停止しない場合の被害拡大の両方を踏まえ、平時から判断基準を用意する必要があるとしています。
サービスの概要：短期で経営合意までを支援
短期支援では、約2〜3か月で現状把握から経営陣の合意形成まで進めます。経営コンサルタント、システムエンジニア、セキュリティ専門家が合同で担当します。
| 段階 | 主な支援内容 |
|---|---|
| 現状把握 | セキュリティ診断、事業インパクト評価、システム・サービス・事業の関連整理 |
| 基準づくり | 対応の優先順位付けと、停止・再開基準の定義 |
| 運用設計 | 検知から停止判断までの手順、顧客対応、再稼働の判断フローと役割分担の整備 |
| 経営合意 | 経営課題を整理し、対応ロードマップと方針について合意を形成 |
出典：NRI・NRIセキュアの発表資料「短期（2〜3か月）での支援内容の詳細」をもとに編集部作成。
特長1：経営層の合意形成までを対象に
CEO、CISO、CIO、CFOに加え、IR・法務・事業の担当役員などで推進委員会を設けます。個別ヒアリングで認識の違いを整理し、次の3点を平時に定めることを目指します。
- 脆弱性対応の優先順位
- 対応を保留する場合の暫定策、承認者、見直し期限
- 外部サービスや社内システムを停止・再開する判断者と基準
技術部門だけで対策を決めるのではなく、停止による事業への影響も踏まえて経営陣が合意する手順を整えます。
特長2：事業影響を定量・定性の両面で分析
停止による影響は、インシデント対応費用、契約不履行による違約金・損害賠償、顧客への補償、収益機会の損失などに分けて試算します。株価への影響も分析対象です。
金額に換算しにくい社会的影響や、顧客・取引先との信頼関係、ブランドへの影響も整理します。どのシステムを止めると、どの事業にどれほど影響するかを把握し、停止・再開の判断に使う根拠をまとめます。
特長3：3つの専門性で一貫支援
NRIの経営コンサルタントとシステムエンジニア、NRIセキュアの専門家が、経営・セキュリティ・システムの課題を並行して確認します。発表資料では、従来の技術中心の支援との違いを次のように示しています。
| 観点 | 従来の技術中心の支援 | 今回のサービス |
|---|---|---|
| 主な対象 | CISO・CIOなど情報システム部門 | CEO・取締役会も対象とし、関係部門が参加 |
| 判断の根拠 | 脆弱性の深刻度などの技術指標 | 技術指標に加え、事業損益・事業影響リスクを分析 |
| 成果物の範囲 | 技術的な対策方針・運用手順 | 対策方針に加え、停止・再開基準と経営の意思決定フローを整備 |
出典：NRI・NRIセキュアの発表資料「従来の支援との違い」をもとに編集部作成。
短期支援後は、パッチ適用プロセスの再構築、AIを使うセキュリティ診断、運用の自動化、AI利用状況の可視化などを中長期の取り組みとして支援します。
Q&A
Q. サイバーレジリエンス経営支援とは何ですか？
A. 経営層がサイバー攻撃時のシステム停止・再開を判断できるよう、平時に基準と意思決定の手順を整える支援サービスです。
Q. 短期支援にはどのくらいの期間がかかりますか？
A. 約2〜3か月を想定し、現状把握、基準づくり、運用設計、経営合意の4段階を進めます。
Q. どのような企業が対象ですか？
A. EC・デジタル事業者、グローバル製造業、金融機関を含む重要インフラ事業者など、システム停止の影響が大きい企業が主な対象です。
関連リンク
O!Productニュース編集部からのコメント
停止・再開の判断者を平時に決めておけば、有事に承認先を探す負担を減らせそうです。BCPを更新する際、経営陣との役割分担を見直す材料になります。
引用元：PR TIMES
この記事の著者
O!Productニュース編集部
