ITパスポート 2026年 問79

経営者に求められる役割：サイバーセキュリティリスク対策の推進【ITパスポート 解説】

正解の理由

• 「責任を持つ」と「実務をやる」は別です。経営者は最終責任（アカウンタビリティ）を負い、実務は専門部門やCISO（Chief Information Security Officer：最高情報セキュリティ責任者）に任せてもよいが、任せっぱなしにしてはいけません。
• 経営者の関与（方針決定・資源配分・進捗確認）がないと、対策は後回しになりやすく、組織全体で実効性が出ません。

解法ステップ

1. 問題文のキーワードを拾う
   • 「経営者に求められる役割」「推進」「リスクマネジメントの一環」などを確認します。
2. 経営者の一般的な役割を思い出す
   • 経営者は方針決定、資源配分（予算・人材）、監督をする立場であることを前提にします。
3. 各選択肢と役割を照合する
   • 全て任せる・外部に委譲する等の選択肢は責任の所在が曖昧になるため不適切と判断します。
4. 最も適切なものを選ぶ
   • 方針検討、資源配分、実施状況の確認などを経営者自ら行う ウ が合致します。

選択肢別の誤答解説

• ア: IT部門のセキュリティ担当者に全て任せる
  • 理由：IT部門は実行主体（担当）として重要ですが、企業全体の方針決定や予算配分は経営層の責務です。全てを任せると経営判断（ビジネスとの優先順位付け）が反映されません。
• イ: CISOを任命し、実行や判断を全て任せる
  • 理由：CISO（Chief Information Security Officer：最高情報セキュリティ責任者）は専門家として実行・助言の責任を持ちますが、「最終的な責任」（法的・経営的な説明責任）は経営者にあります。経営者の関与なしに全権委任するとガバナンス上の問題になります。
• ウ: 実施方針の検討、予算や人材の割当て、実施状況の確認や問題の把握と対応を通じて自らリーダーシップを発揮する
  • 理由：経営者は方向性の決定と資源配分、監督を行うことで組織全体のサイバーセキュリティ対策を効果的に推進できます。適切な役割分担（経営は「何を」「どの優先度で」行うかを決め、専門部門が「どう実行するか」を担う）を示しています。
• エ: 外部コンサルタントに権限と責任を委譲する
  • 理由：外部専門家の助言は有益ですが、経営判断や最終責任は社内に残るべきです。外部に全権を委譲すると、会社固有の事情を反映できず責任の所在があいまいになります。

よくある誤解

1. 「責任を持つ＝全て自分でやる」
   • 誤解：経営者が直接技術的な作業をする必要はありません。正しくは「最終責任を持ち、方針決定と資源配分を行い、実行を監督する」ことです。
2. 「CISOや外部に任せれば安心」
   • 誤解：CISOや外部専門家は重要な役割を果たしますが、経営者が関与し方針や予算を示さないと権限や優先順位が不明瞭になり、対策が中途半端になります。
3. 「サイバー対策はITだけの問題」
   • 誤解：人的対応、業務プロセス、法務、広報など部門横断の対応が必要で、経営者のリーダーシップが求められます。

補足コラム

• 「トップの関与（tone at the top）」の重要性
  • 経営者が明確にサイバーセキュリティを優先事項とすることで、社内の意識が変わり、予算や人材配分が確保されます。これは「トップの関与」と呼ばれ、実務の実効性に直結します。
• RACIモデル（役割分担の考え方）
  • RACIは、Responsible（実行者）、Accountable（最終責任者）、Consulted（相談される人）、Informed（報告を受ける人）の頭文字です。サイバーセキュリティでは経営者がAccountable（説明責任）を持ち、CISOやIT部門がResponsibleになることが望ましい構成です。

FAQ