情報セキュリティガバナンスとは？じょうほうせきゅりてぃがばなんす
情報セキュリティガバナンスとは、経営陣がセキュリティの方向づけを行い、実施状況を監視し、成果を評価して是正させ、利害関係者へ説明責任を果たす統治の仕組み。JIS Q 27014（ISO/IEC 27014）は、これを評価・指示・監視という経営陣の3つの行為と、経営陣への報告および利害関係者とのコミュニケーションという2つの流れで表す。
最終更新：2026-10-06
この語が出る過去問を解く →背景
情報漏えいが起きたときに「現場に任せていた」で経営が免責されない時代になり、投資枠と受容できるリスク水準を誰が決めるのかを制度として決める必要が生じた。ISMSのような実行の枠組みだけでは、対策に金を出すか出さないかという判断の主体が定まらない。経営者が決めて監督する層を上に置き、実行と改善の層と切り分けたのがこの考え方である。
具体例
経済産業省とIPAのサイバーセキュリティ経営ガイドラインは、経営者が認識すべき3原則と、経営者がCISOなどに指示すべき重要10項目を挙げている。10項目にはリスク管理体制の構築、予算と人材の確保、インシデント発生時の緊急対応体制の整備、委託先を含めたサプライチェーン全体の対策状況の把握などが並び、いずれも経営が決めなければ動かない事項である。
試験での引っ掛け
ISMSのようなマネジメントの枠組みと同じものとして扱われやすいが、ガバナンスは経営が方向づけて監督する層、マネジメントは指示を受けて実行し改善する層で、上下に分かれる。監督する側と実行する側が同一人物になると、自分の対策を自分で評価することになり機能しない点が問われる。
関連用語
出た過去問
出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問7（IPA）
JIS Q 27014:2015（情報セキュリティガバナンス）における、情報セキュリティを統治するために経営陣が実行するガバナンスプロセスのうちの“モニタ”はど…
正解：戦略的目的の達成を評価することを可能にするガバナンスプロセス
要点：モニタは戦略的目的の達成度を把握可能にするプロセス
JIS Q 27014が示す情報セキュリティガバナンスのプロセスは、評価（Evaluate）、指示（Direct）、モニタ（Monitor）、コミュニケーション（Communicate）、保証（Assure）から成る。このうちモニタは、経営陣が設定した戦略的目的がどこまで達成されたかを測定・把握できるようにするプロセスである。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (5) 情報セキュリティマネジメントシステム（ISMS）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。