情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問10

経営者のリーダーシップ【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 各選択肢が「方針・意思決定」「定期的な評価」「監査などの実務計画」「日々の情報収集」のどれに当たるかを分類します。
2. 経営者の“リーダーシップ”とは、方針決定と組織全体の維持管理（定期見直し、資源配分、外部情報の取り込み等）を指すと理解します。
3. 分類結果から、経営者が直接責任を持つべきものを選びます。監査計画の立案（a）は監査部門や内部監査担当の専門業務寄りのため除外。残る b, c, d が該当します。
4. 選択肢の組合せで b, c, d を含むもの（エ）を選びます。

選択肢別の誤答解説

• ア（a, b, c）
  a（監査計画の立案）を含むため誤り。監査計画は監査機能または専門部門が中心に作成する業務で、経営者は監査の目的設定や監査結果の受け止め・改善指示を行いますが、計画立案そのものを経営者が直接行うとは限りません。
• イ（a, b, d）
  aを含むため誤り。同様に監査計画は実務的な設計が主で、経営者の「自ら行うべき取組み」には当たらないと判断します。
• ウ（a, c, d）
  aが含まれている点で誤り。方針（c）や脅威動向の収集（d）は経営者の責任領域ですが、監査計画の立案は実務部門の役割です。
• エ（b, c, d）
  正しい組合せ。方針の設定（c）、対策の定期・随時の見直し（b）、最新動向の収集（d）はいずれも経営者がリーダーシップを発揮して行うべき事項で、ガイドラインの求める役割に合致します。ここではエが該当します。

よくある誤解

1. 「監査＝経営者の仕事」と考える誤解
   監査の目的決定や監査結果をどう扱うかは経営の責任ですが、監査計画の具体的な作成や実施は専門部門（内部監査室や外部監査人）が担うことが多いです。経営は監査を活用して改善を指示します。
2. 「情報収集はIT部門だけの仕事」と考える誤解
   新たな脅威の把握は技術部門の仕事に見えますが、経営者はその情報を基にリスク受容の判断や予算配分をする責任があります。つまり収集する仕組みを整え、重要情報は経営が確認すべきです。
3. 「方針は形だけ作ればよい」と考える誤解
   方針は経営の意思表明です。現場で運用・改善が行われるよう、署名・周知・レビュー体制を整えることが求められます。

補足コラム

• 経営者が情報セキュリティ方針にサインする（意思表明）。
• セキュリティ責任者（CISO相当）を任命し、方針に基づく実施計画を作らせる。
• 定期レビュー（月次報告・年次見直し）を経営会議で確認し、必要なら資源（予算・人員）を追加する。
• 脅威情報は外部の公的機関やベンダーの通知、業界団体の情報を購読して取り込み、経営に簡潔に報告する。
  このように経営者は「決める」「評価する」「情報を受けて判断する」役割を担います。

• 情報セキュリティ監査：組織の情報資産保護の状態を点検する仕組み。
• 政策（方針）：組織が守るべきルールと経営の意志を示す文書。
• 脅威情報：マルウェアや侵害手口など、セキュリティ上の新しい危険の情報。

FAQ