スタートアップのセキュリティ基本方針｜資金調達・M&Aで求められる対応

スタートアップが資金調達やM&Aの交渉に入ると、投資家や買収先企業から必ずと言っていいほど問われるのが情報セキュリティ体制である。プロダクトの成長を優先しがちな創業初期は、セキュリティ基本方針の整備が後回しになりやすい。しかし方針や規程が存在しないままデューデリジェンス（DD）に臨むと、ガバナンス不備という指摘を受けやすい。指摘は条件交渉やバリュエーション評価に悪影響を与えることもある。本記事では、経済産業省のガイドラインを踏まえた基本方針の考え方と、資金調達・M&Aの現場で実際に確認される項目を整理する。

セキュリティ基本方針とは何か

情報セキュリティの基本方針とは、自社がどのような考え方で情報資産を守るかを経営者の言葉で宣言した文書のことである。技術的な対策手順そのものではない。「なぜ・誰の責任で・何を優先するか」という方針レベルの意思表示であり、その下に管理規程や実施手順が紐づく構造になる。

経済産業省とIPAは「サイバーセキュリティ経営ガイドラインVer3.0」を2023年3月に公表した。経営者を対象にこの方針策定を促す代表的な指針である。ガイドラインは「経営者が認識すべき3原則」と「サイバーセキュリティ経営の重要10項目」で構成される。

3原則は次の3点である。第一に経営者がリーダーシップを取り、サイバーセキュリティをIT部門任せにしないこと。第二に自社だけでなく委託先・取引先を含むサプライチェーン全体に目を配ること。第三に平時・緊急時を問わず社内外の関係者と積極的にコミュニケーションを取ることである。

重要10項目は、リスク認識と対応方針の策定に始まる。リスク管理体制の構築、予算・人材の確保と続く。インシデント対応体制の整備、サプライチェーン全体の対策、情報収集・共有まで、方針から実行までを一気通貫でカバーする内容である。

スタートアップの場合、このガイドラインの全項目を一度に満たす必要はない。重要なのは、経営者自身が方針を言語化し、投資家や取引先に説明できる状態を作ることである。

なぜ資金調達・M&Aでセキュリティ体制が問われるのか

投資家やM&Aの買い手は、対象企業の財務・法務だけでなく、情報セキュリティ体制もデューデリジェンスの対象にする。理由は大きく2つある。

1つ目は、情報漏洩や不正アクセスが事業価値そのものを毀損するリスクだからである。顧客データや取引先情報の管理体制が甘いと、契約解除や損害賠償請求に発展しかねない。投資後・買収後の事業計画が狂う可能性もある。財務DDでは収益性・資本政策・契約コンプライアンスが確認される。情報管理の甘さも、交渉条件の悪化要因になり得る点は同じである。財務DDの確認項目はスタートアップの財務DD対策｜投資家・M&A先が確認する15項目で解説している。

2つ目は、セキュリティ体制の整備状況が経営管理能力の代理指標として見られるためである。方針・規程・体制図が整理されていない企業は、他のガバナンス領域でも管理が甘いと推定されやすい。

特にエンタープライズ企業を顧客に持つ、あるいは持とうとしているスタートアップは注意が必要である。営業段階でセキュリティ質問票への回答や、ISMS認証の取得状況を求められるケースが増えている。資金調達のタイミングだけでなく、事業成長のボトルネックになる論点でもある。

資金調達・M&Aのデューデリジェンスで確認される項目

投資家・買収先が確認する項目は、企業のステージによって深さが異なる。

シード〜シリーズA前後では、基本的な方針文書の有無が確認の中心である。最低限のアクセス権限管理・データ取り扱いルールも見られる。方針が明文化されておらず、担当者の裁量に任されている状態だと、その時点で指摘を受けやすい。就業規則や秘密保持契約（NDA）といった労務・契約面の整備状況と合わせて確認されることも多い。契約書・規程の整備手順はスタートアップの法務｜創業期に整えるべき契約書・規程・知財の基本を参照。

シリーズB以降になると、より踏み込んだ確認が入る。情報セキュリティ委員会や責任者（CISO相当）の設置状況が見られる。インシデント発生時の対応フロー、委託先管理の仕組みも対象になる。ISMS認証やSOC2レポートといった第三者認証の取得状況も確認される。IPO準備企業になると、EDR（エンドポイント検知・対応）やSIEMによるログ監視、多要素認証の強制、月次の脆弱性スキャンなど、より高度な技術対策まで確認範囲が広がる。

自社のステージに対して過剰な体制を急いで整える必要はない。ただし次のラウンドで何を聞かれるかを見越して、方針レベルの整備だけは早めに着手しておくことが望ましい。

最低限整備すべき基本方針の構成要素

限られたリソースの中で優先すべきは、以下の4点である。

第一に、経営者名で発行する情報セキュリティ基本方針そのものである。自社が情報資産をどう位置づけ、どのレベルで守るかを1〜2ページで宣言する。第二に、方針を実行に移すための管理規程である。情報の取り扱い区分、アクセス権限の設定、外部持ち出しのルールなどを定める。第三に、責任の所在を明確にする体制図である。担当者が1人であっても、誰が責任者かを明記しておく。第四に、インシデント発生時の初動対応フローである。誰に報告し、誰が対外対応するかを事前に決めておく。

これらはいずれも、資金調達の3〜6か月前から準備を始めるのが現実的である。デューデリジェンスの依頼を受けてから慌てて作成するのではない。平時から最低限の文書を整えておくことで、DD期間中の対応工数を大きく圧縮できる。

ISMS・SOC2など第三者認証は必要か

ISMS（ISO/IEC 27001）とSOC2は、いずれも情報セキュリティの第三者認証だが、性質が異なる。ISMSはあらゆる業種の組織を対象にした規格である。管理の仕組みの有無を評価する国際規格である。一方SOC2は主にクラウドサービス提供事業者を対象にする。実際の統制が有効に機能しているかを評価する米国発の基準である。近年は両方を取得する企業も増えている。

取得を検討すべきタイミングの目安は、エンタープライズ企業を顧客に持つときである。あるいは委託先としてセキュリティ調査票への回答を求められる機会が増えたときも目安になる。ISMS認証は申請から取得まで一般的に6〜9か月かかるとされる。思い立ってすぐ取得できるものではない。資金調達やM&Aの直前に慌てて着手するのではなく、事業成長のフェーズと合わせて計画的に準備することが望ましい。

一方で、シード期のスタートアップがいきなりISMSやSOC2の取得を目指す必要はない。まずは基本方針と最低限の管理規程を整えることが優先である。投資家からの質問に、方針として何を決めているかを答えられる状態を作ることを優先したい。

よくある質問

情報セキュリティの方針は何人規模の会社から必要ですか

従業員数の基準はない。投資家との対話が始まる時点、目安としてシード〜シリーズA検討時には、1〜2ページの方針文書だけでも用意しておくことが望ましい。

ISMS認証がないと資金調達できませんか

認証の有無だけで資金調達の可否が決まることは少ない。ただしエンタープライズ顧客への依存度が高い事業や、シリーズB以降では認証取得の計画があるかどうかが評価材料になることがある。

方針文書は誰が作成すべきですか

最終的な発行者は経営者だが、たたき台の作成は専門知識がなくても始められる。IPAが公開する中小企業向けガイドラインのひな形を土台に、自社の事業内容に合わせてカスタマイズする方法が現実的である。

まとめ

セキュリティ基本方針は、技術的な対策そのものではない。経営者が自社の情報資産をどう守るかを言語化する意思表示である。資金調達やM&Aのデューデリジェンスでは、方針・規程・体制の整備状況が事業価値の評価やガバナンス能力の判断材料として見られる。シード〜シリーズAでは基本方針と管理規程の整備、シリーズB以降ではISMS・SOC2など第三者認証の検討というように、ステージに応じて段階的に整えていくことが現実的なアプローチである。資金調達を検討し始めた時点で、まずは自社の方針が言語化されているかを確認することから始めたい。

出典

• 経済産業省・IPA「サイバーセキュリティ経営ガイドラインVer3.0」（2023年3月公表）✅一次
• IPA「中小企業の情報セキュリティ対策ガイドライン」✅一次