「うちは日本国内だけで商売するからNISTは関係ない」と考えていいか？
本田：最後にNISTに戻り、いくつか確認しておきたいと思います。アメリカと取引がある企業ではNIST対応が不可欠とのことですが、国内だけでビジネスするような企業なら除外と考えていいでしょうか？
西尾：杓子定規に言えば「対応する義務はありません」。しかし完全に日本国内だけでビジネスする企業だったとしても、日本政府がNISTに限りなく考え方の近い対応へと考え方を変えてきていますので、数年後には取り残されるリスクがあると考えていいでしょう。とはいえ「今すぐ対応せよ」は現実的ではありません。動向について情報収集を怠らないようにしてください。
本田：アメリカに関する情報として該当するのはNISTで定められた「CUI：管理された非格付け情報」ですよね。具体的にはNARA（アメリカ国立公文書記録管理局）のレポジトリを参照すればいいでしょうか。
西尾：基本的にはそれで大丈夫です。CUIは各省庁が定義していて、散在しています。明確な定義はないようなものなので、判例を参考にする必要もあるかもしれませんね。
本田：雲をつかむようで難しいですね。
西尾：今、新型コロナウィルスで多くの方に在宅勤務が強いられています。突然でしたよね。セキュリティインシデントもこんな感じで突然来るのです。ある日「ピン！」とアラートが上がり、対応に追われる日々が続きます。いつそういう日が来てもいいように、準備を怠らないことが大切です。
