応用情報技術者 2017年春期午前2 問39

問題文

経済産業省と IPAが策定した “サイバーセキュリティ経営ガイドライン (Ver1.1)”の説明はどれか。

選択肢

ア：企業が IT活用を推進していく中で、サイバー攻撃から企業を守る観点で経営者が認識すべき3原則と、情報セキュリティ対策を実施する上での責任者となる担当幹部に、経営者が指示すべき事項をまとめたもの（正解）

イ：経営者が、情報セキュリティについて方針を示し、マネジメントシステムの要求事項を満たすルールを定め、組織が保有する情報を CIAの観点から維持し、継続的に見直すためのプロセス及び管理策を体系的に規定したもの

ウ：事業体の IT に関する経営者の活動を大きく IT ガバナンス (統制) と IT マネジメント (管理)に分割し、具体的な目標と工程として37のプロセスを定義したもの

エ：世界的規模で生じているサイバーセキュリティ上の脅威に関して、企業の経営者を支援する施策を総合的かつ効果的に推進するための国の責務を定めたもの

サイバーセキュリティ経営ガイドライン (Ver1.1)【午前2 解説】

要点まとめ

結論：サイバーセキュリティ経営ガイドラインは、経営者が認識すべき3原則と担当幹部への指示事項をまとめた指針です。
根拠：経済産業省とIPAが企業の経営層に向けて、サイバー攻撃から企業を守るための具体的な役割と責任を明確化しています。
差がつくポイント：経営者の視点に立った「認識すべき原則」と「指示すべき事項」に焦点を当てている点が他のマネジメント体系と異なります。

正解の理由

選択肢アは、経済産業省とIPAが策定した「サイバーセキュリティ経営ガイドライン」の趣旨を正確に表現しています。
このガイドラインは、企業の経営者がサイバーセキュリティの重要性を理解し、担当幹部に対して具体的な指示を出すための3原則を示しています。
他の選択肢は、情報セキュリティマネジメントシステムやITガバナンス、国の施策など別の枠組みや内容を説明しており、ガイドラインの本質とは異なります。

よくある誤解

サイバーセキュリティ経営ガイドラインを情報セキュリティマネジメントシステム（ISMS）やITガバナンスの詳細な規定と混同しやすい点に注意が必要です。
また、国の責務を定めた政策文書と誤解されることもありますが、ガイドラインは企業経営者向けの指針です。

解法ステップ

問題文の「サイバーセキュリティ経営ガイドライン」の目的を確認する。
選択肢の内容が「経営者の認識すべき原則」と「担当幹部への指示事項」に合致しているかを判断する。
他の選択肢が示す内容（ISMS、ITガバナンス、国の施策）と比較し、ガイドラインの特徴と異なる点を見極める。
最もガイドラインの趣旨に合致する選択肢を選ぶ。

選択肢別の誤答解説

イ：情報セキュリティマネジメントシステム（ISMS）の説明であり、ガイドラインの内容とは異なります。
ウ：ITガバナンスとITマネジメントのプロセス定義で、ガイドラインの経営者向け指針とは別物です。
エ：国の施策や責務を定めた文書の説明で、企業経営者向けのガイドラインではありません。

補足コラム

サイバーセキュリティ経営ガイドラインは、経営者がサイバーリスクを経営課題として認識し、組織全体で対策を推進するための指針です。
経営層の関与が不十分だと、技術的対策だけでは不十分なため、経営者のリーダーシップが重要視されています。
また、3原則とは「経営者の認識」「リスク管理の実施」「継続的な改善」を指し、これに基づく指示が求められます。