サイバーセキュリティ経営ガイドラインとは？さいばーせきゅりてぃけいえいがいどらいん
サイバーセキュリティ経営ガイドラインとは、経済産業省とIPA（情報処理推進機構）が公表した、経営者向けのセキュリティ指針。経営者自身が認識すべき「3原則」と、経営者がセキュリティ対策の責任者（CISOなど）に指示すべき「重要10項目」という2部構成をとる。
最終更新：2026-10-07
この語が出る過去問を解く →背景
セキュリティ投資はそれ自体が売上を生まないため、現場が必要性を訴えても経営層の判断で止まりやすい。しかし被害が出れば事業の継続そのものが揺らぐうえ、判断する側には技術の言葉が届かないという断絶がある。そこで技術者向けの基準としてではなく、経営者が読んで部下に指示を出すための文書として書かれたのがこのガイドライン。午前I（科目A-1）では、技術者にとって手薄になりやすい経営視点の出題として現れる。
具体例
3原則は、経営者自らがリーダーシップを執ること、自社だけでなく系列企業やビジネスパートナーを含めて対策すること、平時から関係者と情報共有と信頼関係の構築を行うこと。重要10項目には体制の構築、予算・人材の確保、リスクの把握と対応計画の策定、インシデント発生時の緊急対応体制の整備などが並ぶ。
試験での引っ掛け
「3原則＋重要10項目」という構成そのものが出題対象になる。管理策の詳細を定めた規格（JIS Q 27001／27002）ではなく、これに基づく認証制度も存在しない——経営者への指示事項という位置づけ。規模の小さい組織向けには別に「中小企業の情報セキュリティ対策ガイドライン」があり、当てはめ先を取り違えないこと。
関連用語
出た過去問
出典：平成29年度 春期 高度試験 午前Ⅰ 問14（IPA）
経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン（Ver1.1）”の説明はどれか。
正解：企業がIT活用を推進していく中で，サイバー攻撃から企業を守る観点で経営者が認識すべき3原則と，情報セキュリティ対策を実施する上での責任者となる担当幹部に，経営者が指示すべき事項をまとめたもの
要点：経営ガイドラインは3原則と重要10項目で経営者の関与を促す
サイバーセキュリティ経営ガイドラインは、経営者向けに、セキュリティを経営課題として認識するための3原則と、CISOなど対策の責任者に指示すべき重要10項目を示したものである。技術者向けの手引ではなく、経営層の関与を促すことに主眼がある。ISMS規格やCOBIT、サイバーセキュリティ基本法とは位置付けが異なる。
出典：令和3年度 春期 高度試験 午前Ⅰ 問13（IPA）
経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン（Ver2.0）”の説明はどれか。
正解：企業がIT活用を推進していく中で、サイバー攻撃から企業を守る観点で経営者が認識すべき3原則と、サイバーセキュリティ対策を実施する上での責任者となる担当幹部に、経営者が指示すべき重要10項目をまとめたもの
要点：経営ガイドラインは3原則＋担当幹部への指示10項目
サイバーセキュリティ経営ガイドラインは、経済産業省とIPAが策定した経営者向けの手引で、経営者が認識すべき「3原則」と、対策の実行を任せる担当幹部（CISO等）に経営者が指示すべき「重要10項目」で構成される。技術者向けの実装手順書ではなく、経営層がセキュリティ投資を判断するための文書である。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (8) 情報セキュリティに関する基準に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。