CISOとは？しーあいえすおー
CISOとは、Chief Information Security Officer（最高情報セキュリティ責任者）の略で、組織全体の情報セキュリティについて方針と戦略を決め、その実行に責任を負う経営層の役職。対策への投資やリスクを受け入れるかどうかを経営の立場で判断し、重大な事故が起きたときは対外的な説明にも立つ。
最終更新：2026-10-09
この語が出る過去問を解く →背景
セキュリティ対策は情報システム部門の中だけでは決まらない。予算を確保し、業務のやり方を変え、事故が起きたときに公表するかどうかを決めるには経営の権限が要る。現場任せにすると、投資が足りないまま責任だけが現場にある状態になってしまう。そこで経営陣の中に責任者を置く形が情報セキュリティガバナンスとして制度化された。試験では組織体制と役職の役割分担として問われる。
具体例
経済産業省とIPAの「サイバーセキュリティ経営ガイドライン」は、経営者がCISOなどの責任者を任命し、セキュリティを経営課題として指示することを求めている。日立製作所やNTTのような大企業では、CISOのもとにCSIRTを置き、平時の方針決定と有事の技術対応を分担する体制をとっている。
試験での引っ掛け
CIO（最高情報責任者）はIT活用と投資の全般、CISOはそのうちセキュリティに責任を持つ、という守備範囲の違いが問われる。CISOは経営レベルの役職であり、検知や封じ込めを実務として行うCSIRTの現場責任者とは別。個人情報の保護を担うCPO（最高プライバシー責任者）とも重なる部分はあるが同じではない。
関連用語
出た過去問
出典：令和7年度 公開問題 基本情報技術者試験 科目B 問6（IPA）
A社は従業員200名の電子機器メーカーである。東京に本社があり、新潟に工場がある。 A社では、ファイルサーバを図1のように運用している。 〔図1 A社のファイル…
正解：a1: 火曜日の正午 / a2: 4.50 / a3: CISO
RPOが72時間なので、金曜日の正午に障害が起きた場合は少なくともその72時間前、つまり火曜日の正午時点のデータまでは復元できなければならない。木曜日の正午の障害では、土曜日のフルバックアップに加えて火曜日と木曜日の2回分の増分バックアップを適用するため、4時間＋0.25時間×2＝4.50時間かかる。またICT継続の計画書のような重要文書は、担当者や監査部門ではなく責任者であるCISOが承認する。
出典・参考
公式シラバスの6 サービスマネジメント ＞ 2. 内部統制 ＞ (2) IT ガバナンスに掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。