vCISOとは何をする人か：業務範囲、月間工数の見積もり、選び方

要点： vCISO（仮想最高情報セキュリティ責任者）は、外部から非常勤で関わるセキュリティの責任者です。セキュリティ計画を決め、リスク台帳を維持し、規程を管理し、取引先のセキュリティ質問票に答え、インシデントへの備えを整え、経営層に報告します。意思決定とガバナンスを担い、ツールの運用は自社の情シスや委託先が行います。中小企業の多くは、常勤の採用ではなく月に数日分あれば足ります。

この記事は、「セキュリティの責任者は誰か」と聞かれて答えに詰まる経営者、経理責任者、情シスに向けて書いています。読み終えると、業務範囲に書き込める業務一覧、月間工数の見積もり方、必要かどうかを見分ける目安、候補者を選ぶときの質問が手に入ります。

以下の時間数は、方法を示すための例です。実際の数字は自社の範囲で決まります。

vCISOとは実際には何か

1. ツールではなく役割です。 vCISOは、常勤の役員を置くほどではない会社のために、最高情報セキュリティ責任者の仕事を非常勤で担います。
2. 計画に責任を持ち、手は動かしません。 優先順位を決め、経営層とともにリスクを受容するか否かを判断し、作業が進んでいるかを確認します。パッチ適用、監視、ユーザーサポートは情シスや管理型ITサービスの提供会社が担います。
3. 独立した視点があります。 経営者や取締役会に報告するため、チームをかばわずに「ここはできていません」と言えます。

vCISOの業務範囲に何を含めるか

NISTサイバーセキュリティフレームワーク2.0の6つの機能（Govern、Identify、Protect、Detect、Respond、Recover）に沿って整理します。NISTのサイトで2026年10月28日に確認しました。そのまま業務範囲のチェックリストとして使えます。

ガバナンス（Govern）

1. セキュリティ規程一式を作成・維持し、経営層の承認を得る。
2. 誰が何に責任を持つか（役割、承認、例外）を明確にする。
3. 決まった頻度で経営層や取締役会に報告する。
4. 年間のセキュリティロードマップと予算要求を作る。

識別（Identify）

1. 資産・データ・システムの一覧を、実態に合わせて更新する。
2. リスク台帳を運用し、担当者と期日を記録する。
3. 主要な委託先と、そこに預けているデータを評価する。
4. 取引先のセキュリティ質問票や契約条項に、証跡をつけて回答する。

防御（Protect）

1. IDとアクセスを確認する（MFA、管理者アカウント、条件付きアクセス）。出発点としてMicrosoft 365セキュリティチェックリストをご利用ください。
2. 端末、パッチ、暗号化、バックアップの基準を定め、適用されているかを確認する。
3. セキュリティ教育と標的型メール訓練を実施する。
4. 新しいツールやプロジェクトを、購入前にセキュリティ面でレビューする。

検知（Detect）

1. どのログとアラートが重要か、誰が確認するかを決める。
2. 監視やセキュリティ運用の委託先から届く月次の出力を確認する。
3. 脆弱性スキャンやペネトレーションテストの指摘を、完了まで追跡する。

対応（Respond）

1. インシデント対応計画（役割、連絡先、判断基準）を作る。
2. 少なくとも年1回の机上演習と、四半期ごとのセキュリティ教育や標的型メール訓練を実施する。
3. 実際のインシデントでは対応を主導または助言し、事後レビューをまとめる。

復旧（Recover）

1. バックアップの範囲、保存期間、復元テストが業務の要件に合っているかを確認する。
2. 事業部門と復旧目標を合意する。
3. 事業継続計画を最新に保つ。

月間工数はどう見積もるか

勘ではなく、作業を積み上げて数字を出します。定期的な作業ごとに頻度と1回あたりの時間を書き出し、最初の数か月分の立ち上げ工数を足します。

1. 定期作業の例（従業員約50人の会社）：

• 経営層との月次セキュリティレビュー：2時間
• リスク台帳と例外のレビュー：1時間
• 取引先の質問票と委託先レビュー：2時間（月に約2件、1件1時間と仮定）
• 委託先のレポートと指摘事項の確認：1時間
• 経営層向けレポート：1時間
• 年1回の机上演習と四半期ごとの教育を年間で均した分：月あたり約1.5時間

1. この例の安定期の合計： 月に約8〜9時間。
2. 立ち上げ期（最初の3か月）の例： 規程、最初のリスク台帳、ロードマップのために月8〜16時間を加算し、当初は月に約16〜25時間。
3. 調整する要素： 人数、拠点数、規制のある取引先、受け取る質問票の数、インシデントの有無、情シスがすでに示せる証跡の量。
4. 上限と繰り越しのルールを決めておく。 何もない月と、インシデントのあった月の扱いが明確になります。

厳密な基準ではなくおおまかな目安ですが、小さな会社で見積もりが週に2日程度を超えるなら、範囲が広すぎるか、社内に専任を置くべき段階かもしれません。

どんなときに必要か

1. 取引先からセキュリティ質問票が届くが、 回答の担当者がいない。
2. セキュリティの責任者が決まっておらず、 なんとなく「情シスの仕事」になっている。
3. クラウドサービスと端末が混在しているのに、 合意した基準がない。
4. インシデントやヒヤリハットがあり、 あらためて正式な計画を作りたい。
5. 会社が成長し、 規制のある業界の顧客や新しい拠点が増えている。
6. 経営層が、 現状について独立した見方を求めている。

数人規模でツールもシンプルなら、明確なチェックリストと単発のセキュリティ点検で足りることもあります。

vCISO、CISO、セキュリティ運用の委託先の違い

1. 常勤のCISO： セキュリティチームを率いる従業員。大きな組織向き。
2. vCISO： 非常勤のリーダーシップとガバナンス。運用ツールは通常含まない。
3. 管理型ITまたはセキュリティの提供会社： 日々の統制と監視を運用する。MSSP・MSP・MDRの違いと、管理型ITセキュリティサービスをご覧ください。

基準を決めるのがvCISO、その基準どおりに運用するのが提供会社です。vCISOが、自ら推奨するツールを再販していないかも確認してください（後述の見極めの質問を参照）。

候補者をどう見極めるか

1. 成果物のサンプルを求める。 機密部分を伏せたリスク台帳、規程一式、取締役会向けレポート、ロードマップ。
2. 実際に作業するのは誰かを聞く。 会った本人か、若手のチームか。
3. 利益相反を聞く。 本人や所属する会社が、推奨するツールを再販していないか。
4. 報告の方法と頻度、 そして取引先と直接話してくれるかを聞く。
5. 最初の30日、60日、90日で何をするか聞く。
6. 資格と経験を聞く。 CISSPやCISMなどの資格は知識の目安であり、相性の証明ではありません。自社と同じ規模・業種での経験を確認します。
7. 同規模の会社の推薦者に確認する。
8. 契約を確認する。 範囲、月間時間、インシデント時の対応時間、守秘義務、契約終了時に受け取れる引き継ぎ資料。

よくある失敗

1. ツールを買わせるためにvCISOを雇う。 この役割の価値は優先順位づけであり、製品を増やすことではありません。
2. 決定権がない。 経営層が規程を承認せず、リスク受容を書面で行わないなら、役割は機能しません。
3. 範囲を作業リストで書き、成果で書かない。 「承認された規程一式」「演習済みのインシデント計画」のように成果物で定義します。
4. 手を動かして直してくれると期待する。 パッチ適用と監視の担当は、別に明記します。
5. 工数を見直さない。 立ち上げ期が終わったら見積もりを見直します。
6. 資料をvCISOの手元に置いたままにする。 規程、台帳、レポートは自社のテナント内に保管します。

動作確認の方法

約90日後に、次を示せる状態になっているはずです。

1. 担当者と見直し期日のある、承認済みの規程一式。
2. 担当者、期日、経営層の判断が記載されたリスク台帳。
3. 連絡先つきの短いインシデント対応計画。机上演習で一度読み合わせ済みのもの。
4. 優先順位と予算要求を含む、年間のセキュリティロードマップ。
5. 経営層や取引先に見せられる月次レポート。
6. 回答と証跡が用意できているため、滞る質問票が減っている。

FAQ

vCISOは何の略ですか？

仮想最高情報セキュリティ責任者（virtual chief information security officer）の略です。非常勤CISOや仮想CISOとも呼ばれます。

vCISOとCISOの違いは何ですか？

CISOは通常、セキュリティチームを率いる常勤の従業員です。vCISOは同じリーダーシップとガバナンスを、社外から非常勤で提供します。

vCISOの費用はどのくらいですか？

月間の時間数、範囲、拠点数、証跡を求める取引先の数、立ち上げ作業の有無によって変わります。この記事では金額を示しません。セキュリティサービスの料金ページをご覧いただき、上の工数の考え方で見積もりを比較してください。

vCISOにはどんな資格や認定が求められますか？

自社と同じ規模・業種での実務経験、確認できる成果物のサンプル、推薦者を見ます。CISSPやCISMなどの資格は補助的な目安であり、相性の証明ではありません。

同じ議論のIT戦略側については、vCIOサービスをご覧ください。