ITサービスマネージャ 2022年 午前2 問17

サイバーセキュリティ経営ガイドライン【午前2解説】

正解の理由

解法ステップ

1. ガイドラインの目的を確認します。
   経営者がサイバーセキュリティ対策を経営課題として捉え、組織的に取り組むための指針です。
2. 選択肢の表現を照らし合わせます。
   「経営者が認識すべき原則」と「経営者がリーダーシップを発揮して取り組む項目」という説明が、ガイドラインの内容に合致します。
3. 対策の対象や目的を限定しすぎている選択肢を除外します。
   特定の規模、業種、事後対応だけに対象を絞った説明は適切ではありません。

選択肢別の誤答解説

• ア：不適切です。
  サイバーセキュリティ対策を「投資ではなくコスト」と捉えることを重視する、という説明は誤りです。ガイドラインでは、対策を経営上のリスク管理や事業継続に関わるものとして捉え、必要な投資を行うことが重要です。
• イ：適切です。
  経営者が認識すべき原則と、経営者がリーダーシップを発揮して取り組むべき項目を示しています。
• ウ：不適切です。
  すべての企業が、規模やビジネスモデルに関係なく同一の対策をそのまま適用するという説明ではありません。各組織は、自社の事業内容やリスクに応じて対策を検討します。
• エ：不適切です。
  製造業のサプライチェーンを構成する小規模事業者に対象を限定したものでも、サイバー攻撃を受けた後の対応だけをまとめたものでもありません。経営者が平時から取り組むべき事項も含みます。

よくある誤解

• 経営者向けの指針だから、技術的な対策は関係ない
  技術的な対策そのものを詳しく定めるだけではなく、必要な対策を組織として推進するための経営者の役割も示しています。
• ガイドラインに沿えば、全企業で同じ対策を実施すればよい
  事業内容や規模、抱えるリスクは組織ごとに異なるため、自社の状況に応じた対策が必要です。
• サイバーセキュリティ対策は、被害が発生してから考えればよい
  被害後の対応だけでなく、リスクの把握や事前の備えを含めた継続的な取り組みが大切です。

補足コラム

FAQ