サイバーセキュリティ経営ガイドラインとは？さいばーせきゅりてぃけいえいがいどらいん
サイバーセキュリティ経営ガイドラインとは、経済産業省とIPAが公表している、経営者を名宛人とした指針。経営者が認識すべき3原則と、CISOなど担当幹部へ指示すべき重要10項目という二段構えで書かれる。3原則には自社だけでなく委託先を含めた対策と、平時からの関係者との情報共有が含まれ、投資判断の枠組みとして提示される。
最終更新：2026-10-06
この語が出る過去問を解く →背景
対策費は効果が数字で見えないため後回しにされ、事故が起きて初めて経営の議題に上がる、という順序が長く続いた。技術者向けの基準はすでに数多くあったのに、決裁する側が読む文書が無かったことが空白だった。そこで判断の枠だけを示し、具体的な実装は既存の基準へ委ねる構成が採られている。
具体例
IPAは本体と対で「サイバーセキュリティ経営ガイドライン実践のためのプラクティス集」を公開し、10項目それぞれの実施例とつまずきどころを示している。中小企業では、同じくIPAのSECURITY ACTIONで二つ星を宣言する形が取り組みの入口として使われる。
試験での引っ掛け
読み手は経営層であり、機器の設定手順を示す文書ではない。認証制度でも法令でもないため、準拠しなければ違反という性質のものでもない。設問では「3原則」と「重要10項目」という構成そのものと、対策の範囲に委託先が入る点が問われる。
関連用語
出た過去問
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問6（IPA）
経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン(Ver2.0)”の説明はどれか。
正解：企業がIT活用を推進していく中で,サイバー攻撃から企業を守る観点で経営者が認識すべき3原則と,情報セキュリティ対策を実施する上での責任者となる担当幹部に,経営者が指示すべき事項をまとめたもの
要点：経営者向けの3原則と指示すべき事項を示す指針
サイバーセキュリティ経営ガイドラインは、経営者が認識すべき3原則と、セキュリティ対策の責任者へ経営者が指示すべき重要10項目をまとめたものです。セキュリティを経営課題として扱う視点を示す文書で、法令やマネジメントシステム規格とは性格が異なります。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問9（IPA）
経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン (Ver 2.0)”に関する記述のうち、適切なものはどれか。
正解：経営者が認識すべきサイバーセキュリティに関する原則と、経営者がリーダシップを発揮して取り組むべき項目を取りまとめたものである。
要点：経営ガイドラインは三原則と重要十項目を示す経営層向け指針
サイバーセキュリティ経営ガイドラインは、経営者向けに認識すべき三原則と、CISOなどへ指示すべき重要十項目を示した文書である。セキュリティ投資は事業継続と企業価値を守るための投資と位置付けられ、系列企業や委託先を含めた対策、有事に備えた体制整備なども求めている。実施すべき技術的対策を細かく規定するものではなく、経営層のリーダーシップの拠り所となる指針である。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (8) 情報セキュリティに関する基準に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。