CISOとは？しーあいえすおー
CISOとは、組織全体の情報セキュリティについて、方針と投資の判断に責任を負う経営層の役職。日本語では最高情報セキュリティ責任者。平時は方針の承認と資源の配分、有事は事業を止めるかどうかの判断と対外的な説明を担い、検知や封じ込めの実務そのものは行わない。
最終更新：2026-10-06
この語が出る過去問を解く →背景
セキュリティ対策は予算・人員に加え、サービスを止めるかどうかという事業判断を伴うため、情報システム部門の裁量では決めきれない。決める人が不在だと、侵害が疑われても「誰が停止を判断するのか」で時間を失う。サイバーセキュリティ経営ガイドラインが経営者にこの役職の任命を求めているのはそのためで、試験でも経営レベルの責任者という位置づけで問われる。
具体例
経済産業省とIPAのサイバーセキュリティ経営ガイドラインは、経営者が担当幹部としてCISOを任命し、体制の整備を指示することを重要10項目に挙げている。上場企業では取締役や執行役員が務め、有価証券報告書に載せるリスク情報の記載にも関わる。
試験での引っ掛け
CIO（最高情報責任者）はIT活用と投資の全般、CISOはそのうちセキュリティに責任を持つ役職で、担当範囲が違う。CSIRTの現場責任者は手を動かして対応する側であり、意思決定者であるCISOとは別。委員会が合議体であるのに対し、こちらは1人が負う役職である点も対で押さえる。
関連用語
出た過去問
出典：令和4年度 公開問題 情報セキュリティマネジメント試験 科目A・B 問58（IPA）
国内外に複数の子会社をもつA社では、インターネットに公開するWebサイトについて、A社グループの脆弱性診断基準（以下、A社グループ基準という）を設けている。A社…
正解：（二）,（三）,（四）
要点：変更がなくても年1回以上の診断が必要
項番一は、変更がなくても年1回以上と定められているのにリリース以降3年間実施しておらず基準を満たさない。項番二は年2回実施しており基準以上、項番三はいずれも2か月以内に報告しており適合、項番四は緊急以外を1か月以内に対応し、困難な分は時期を明確にして期限内にCISOの承認を得ているため適合となる。
出典：令和8年度 公開問題 情報セキュリティマネジメント試験 科目A・B 問14（IPA）
A社は従業員200名の電子機器メーカーである。東京に本社があり、新潟に工場がある。A社では、ファイルサーバを次のように運用している。 ・ファイルサーバは本社と工…
正解：a1=火曜日の正午、a2=4.50、a3=CISO
要点：RPOは遡れる時点、復旧時間はフルと増分の合計で見積もる
RPOは、障害時にどこまで過去のデータであれば許容できるかを示す指標です。RPOが72時間なので、金曜日の正午に障害が起きた場合は少なくとも72時間前の火曜日正午時点のデータまで復元できればよいことになります。木曜日正午の障害では、土曜のフルバックアップに火曜と木曜の増分2回を適用するので、4＋0.25×2＝4.50時間掛かります。またICT継続の計画書は、情報セキュリティを統括する立場であるCISOが承認します。
出典・参考
公式シラバスの8 企業と法務 ＞ 1 経営・組織論 ＞ 経営管理（経営管理・経営組織）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。