情報保護開示は2027年から本格的に施行されますが、準備は今から始めなければなりません。開示は単にセキュリティチームだけの仕事ではありません。経営陣、法務チーム、PR/IRチームが共に動くべき全社的な課題です。

第一に、自社のセキュリティ資産マップを描く必要があります。最も重要なシステムは何か、顧客データはどこにどのように保存されているか、万が一これがハッキングされた場合、会社にどのような影響を及ぼすかを明確に把握しなければなりません。金庫がどこにあるのか、出入り口がいくつあるのか分からなければ防ぐことはできません。開示の出発点は、「私たちは何を守らなければならないのか」を正確に知ることから始まります。

第二に、セキュリティデータを財務データのように管理する必要があります。予算は財務チーム、人員はHR、訓練は教育チーム、事故対応はセキュリティチームに分散していると、開示のたびに話が食い違ってしまいます。2026年にやるべきことは、「セキュリティ元帳（単一基準表）」を作ることです。「今年のセキュリティ人員は◯名、予算はいくら、訓練は何回、脆弱性診断のカバー範囲はどこまで、事故発生時の対応時間はどの程度」といった項目を一箇所で確定し、四半期ごとにアップデートする方式に変えなければなりません。 

セキュリティ投資を細分化して記録し、管理する必要があります。科学技術情報通信部が投資活動の細分化を予告したのは、「いくら使ったか」だけでなく、「何にどのように使ったか」を明確に示してほしいという要求です。人的投資、設備投資、サービス投資、教育投資を区分して管理し、前年比の増減率とその理由を説明できなければなりません。

第三に、開示の文章も「エビデンス型文章」に変えなければなりません。「安全です」といった断定は危険です。代わりに「私たちは何を定期的に点検し、どのような基準で処置し、その結果をどのように改善に反映しているか」のように、活動–基準–エビデンス–改善の流れで書く必要があります。このような構造は、投資家の説得はもちろん、規制への対応も可能にします。
これからは単に「セキュリティ対策を行った」ではなく、「どのように行ったか」を記録しなければなりません。 

「当社のセキュリティは万全です」ではなく、「今年第3四半期に脆弱性を47個発見 → 42個解決済み」、「模擬ハッキングテストを年4回実施 → レポートを保管」、「従業員のセキュリティ教育を四半期に1回実施 → 出席率94%」といった具体的な証拠を残さなければなりません。開示はパッケージング（包装）ではなく、データです。 

第四に、セキュリティチームが単独で行うことではありません。開示は会社の公式発表です。経営陣が予算を決定し、法務チームが規制を解釈し、PR/IRチームが開示文書を作成し、IT/セキュリティチームが技術的データを提供する協業体制が必要です。火災対応が消防士だけで行われるものではないように、セキュリティも全社的な課題でなければなりません。

2026年中に模擬開示を行ってみることが現実的な方法です。実際の開示のように草案を作成し、財務・法務・IR・セキュリティが共同で検証すれば、2027年に「初めて行う開示」のリスクが大幅に減少します。開示は発表ではなく、「検証を通過した記録」だからです。