令和4年度 春期 情報処理安全確保支援士試験 午前II 問9

経済産業省とIPA（情報処理推進機構）が策定した サイバーセキュリティ経営ガイドライン は、サイバーセキュリティを経営問題として捉え、経営者がリーダーシップを発揮して対策を推進するための指針です。
本ガイドラインでは、経営者が認識すべき「3原則」と、情報セキュリティ対策を実施する上での責任者（CISO等）に指示すべき「重要10項目」が取りまとめられています。したがって、イ が適切な記述となります。

各選択肢の解説

• ア: サイバーセキュリティ対策は「コスト」ではなく、企業の価値向上や事業継続のための「投資」として捉えることが重要であると明記されているため誤りです。
• イ: 正解です。経営者が認識すべきサイバーセキュリティに関する原則と、リーダーシップを発揮して取り組むべき項目を取りまとめています。
• ウ: 本ガイドラインは「ITに関するシステムやサービス等を供給する企業及び経営戦略上ITの利活用が不可欠である企業の経営者」を対象としており、事業規模やビジネスモデルに関わらず「全ての経営者が自社に適用すべき」ものとして定めているわけではないため誤りです。
• エ: 対象は製造業の小規模事業者に限定されていません。また、事後対応だけでなく、平時からの事前対策やサプライチェーン全体での対策推進など、総合的な取り組みをまとめているため誤りです。