CISO・情報セキュリティガバナンスとは？

CISO・情報セキュリティガバナンスの意味

セキュリティを経営課題として扱い、方針の決定、資源配分、監督までを経営層の責任で行う枠組みと、その責任者であるCISO。現場任せにせず、取締役会が報告を受けて是正を指示する流れをつくることが、実効性を左右する。

CISO・情報セキュリティガバナンスの具体例

CISOを役員として任命し、四半期ごとに取締役会へインシデント件数、脆弱性の未修正日数、訓練の報告率を提出する。予算は情報システム部門の枠から切り離し、セキュリティ独自の予算として審議することで対策が後回しになるのを防ぐ。

CISO・情報セキュリティガバナンスは試験でどう引っ掛けられる？

CIOが兼務する形は、投資推進と統制の役割が同一人物に集まるため利益相反を招きやすい。またガバナンスは統制の「仕組みを監督する」ことで、日々の運用を指揮するマネジメントとは階層が異なる。

CISO・情報セキュリティガバナンスと関連する用語

• サイバーセキュリティ経営ガイドライン
• ITガバナンス
• 情報セキュリティ監査

CISO・情報セキュリティガバナンスが出た過去問

• 経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン（Ver1.1）”の説明はどれか。

  正解：企業がIT活用を推進していく中で，サイバー攻撃から企業を守る観点で経営者が認識すべき3原則と，情報セキュリティ対策を実施する上での責任者となる担当幹部に，経営者が指示すべき事項をまとめたもの

  要点：経営ガイドラインは3原則と重要10項目で経営者の関与を促す

  サイバーセキュリティ経営ガイドラインは、経営者向けに、セキュリティを経営課題として認識するための3原則と、CISOなど対策の責任者に指示すべき重要10項目を示したものである。技術者向けの手引ではなく、経営層の関与を促すことに主眼がある。ISMS規格やCOBIT、サイバーセキュリティ基本法とは位置付けが異なる。

  出典：平成29年度 春期 高度共通_午前I試験 am1 問14（IPA）

• 経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン（Ver2.0）”の説明はどれか。

  正解：企業がIT活用を推進していく中で、サイバー攻撃から企業を守る観点で経営者が認識すべき3原則と、サイバーセキュリティ対策を実施する上での責任者となる担当幹部に、経営者が指示すべき重要10項目をまとめたもの

  要点：経営ガイドラインは3原則＋担当幹部への指示10項目

  サイバーセキュリティ経営ガイドラインは、経済産業省とIPAが策定した経営者向けの手引で、経営者が認識すべき「3原則」と、対策の実行を任せる担当幹部（CISO等）に経営者が指示すべき「重要10項目」で構成される。技術者向けの実装手順書ではなく、経営層がセキュリティ投資を判断するための文書である。

  出典：令和3年度 春期 高度共通_午前I試験 am1 問13（IPA）