CISO・情報セキュリティガバナンスとは？

CISO・情報セキュリティガバナンスとは、セキュリティを経営課題として扱い、方針の決定、資源配分、監督までを経営層の責任で行う枠組みと、その責任者であるCISO。現場任せにせず、取締役会が報告を受けて是正を指示する流れをつくることが、実効性を左右する。

応用情報技術者試験の過去問では1回出題されています。

しーあいえすおーじょうほうせきゅりてぃがばなんす

応用情報技術者試験の頻出用語／マネジメント系／別名：CISO、情報セキュリティガバナンス

CISO・情報セキュリティガバナンスの意味

セキュリティを経営課題として扱い、方針の決定、資源配分、監督までを経営層の責任で行う枠組みと、その責任者であるCISO。現場任せにせず、取締役会が報告を受けて是正を指示する流れをつくることが、実効性を左右する。

CISOを役員として任命し、四半期ごとに取締役会へインシデント件数、脆弱性の未修正日数、訓練の報告率を提出する。予算は情報システム部門の枠から切り離し、セキュリティ独自の予算として審議することで対策が後回しになるのを防ぐ。

CIOが兼務する形は、投資推進と統制の役割が同一人物に集まるため利益相反を招きやすい。またガバナンスは統制の「仕組みを監督する」ことで、日々の運用を指揮するマネジメントとは階層が異なる。

経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン（Ver2.0）”の説明はどれか。
正解：企業がIT活用を推進していく中で、サイバー攻撃から企業を守る観点で経営者が認識すべき3原則と、サイバーセキュリティ対策を実施する上での責任者となる担当幹部に、経営者が指示すべき重要10項目をまとめたもの
要点：経営ガイドラインは3原則と重要10項目からなる経営者向け指針
サイバーセキュリティ経営ガイドラインは、経営者がサイバーセキュリティを経営課題として捉えるために策定されたもので、経営者が認識すべき3原則と、担当幹部（CISOなど）に指示すべき重要10項目から構成される。技術者向けの実装手引ではなく、経営層向けの指針である点が特徴である。
出典：令和3年度春期応用情報技術者試験午前問41（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。