令和4年度 春期 ITサービスマネージャ試験 午前II 問17

サイバーセキュリティ経営ガイドライン（Ver 2.0） は、経済産業省とIPA（独立行政法人情報処理推進機構）が共同で策定したガイドラインです。サイバー攻撃の脅威が高まる中、サイバーセキュリティはIT担当者任せにするのではなく、経営者自身が経営課題として認識し、リーダーシップを発揮して対策を進めるべきであるという理念に基づいて作成されています。

本ガイドラインは主に以下の2つの内容で構成されています。

• 経営者が認識すべき 3原則
• 経営者がCISO（最高情報セキュリティ責任者）等に指示すべき 重要10項目

したがって、適切な記述は「イ」となります。

各選択肢の解説

• ア：誤り。ガイドラインでは、サイバーセキュリティ対策を単なる「コスト」として捉えるのではなく、事業継続や企業の信頼性向上に向けた「投資」として捉えることが重要であると明記されています。
• イ：正解。経営者が認識すべきサイバーセキュリティに関する原則と、経営者がリーダーシップを発揮して取り組むべき項目を取りまとめたものです。
• ウ：誤り。各企業の事業規模、ビジネスモデル、保有する情報資産の重要度などに応じて、自社に最適な対策を検討・実施することが求められており、「全ての経営者が自社に（一律に）適用すべき」という画一的な対策を定めたものではありません。
• エ：誤り。特定の業種や小規模事業者のみを対象としたものではなく、ITを活用している幅広い企業を対象としています。また、事後対応だけでなく、サイバー攻撃を未然に防ぐための事前対策から、インシデント発生時の事後対応や復旧までを包括的にまとめています。