CISOとは？

CISOの意味

組織全体の情報セキュリティに関する戦略・方針の策定と実行に責任を持つ経営レベルの役職。経営陣の一員として情報セキュリティガバナンスを主導する。

CISOの具体例

CISOは情報セキュリティ方針の最終承認プロセスに関与し、重大インシデント発生時には経営陣として対外的な説明責任も担う。

CISOは試験でどう引っ掛けられる？

CIO（最高情報責任者）と混同しやすい。CIOはIT活用・IT投資全般を統括する役職、CISOはそのうち情報セキュリティに責任を持つ役職。またCISOは経営レベルの役職であり、インシデントの検知・封じ込めを実務として行うCSIRTの現場責任者とは役割が別。

CISOと関連する用語

• 情報セキュリティガバナンス
• 情報セキュリティ委員会

CISOが出た過去問

• 国内外に複数の子会社をもつA社では、インターネットに公開するWebサイトについて、A社グループの脆弱性診断基準（以下、A社グループ基準という）を設けている。A社…

  正解：（二）,（三）,（四）

  要点：変更がなくても年1回以上の診断が必要

  項番一は、変更がなくても年1回以上と定められているのにリリース以降3年間実施しておらず基準を満たさない。項番二は年2回実施しており基準以上、項番三はいずれも2か月以内に報告しており適合、項番四は緊急以外を1か月以内に対応し、困難な分は時期を明確にして期限内にCISOの承認を得ているため適合となる。

  出典：令和4年度 s 情報セキュリティマネジメント試験 kamokuAB 問58（IPA）

• A社は従業員200名の電子機器メーカーである。東京に本社があり、新潟に工場がある。A社では、ファイルサーバを次のように運用している。・ファイルサーバは本社と工場…

  正解：a1=火曜日の正午、a2=4.50、a3=CISO

  要点：RPOは遡れる時点、復旧時間はフルと増分の合計で見積もる

  RPOは、障害時にどこまで過去のデータであれば許容できるかを示す指標です。RPOが72時間なので、金曜日の正午に障害が起きた場合は少なくとも72時間前の火曜日正午時点のデータまで復元できればよいことになります。木曜日正午の障害では、土曜のフルバックアップに火曜と木曜の増分2回を適用するので、4＋0.25×2＝4.50時間掛かります。またICT継続の計画書は、情報セキュリティを統括する立場であるCISOが承認します。

  出典：令和8年度 （公開問題） 情報セキュリティマネジメント試験 kamokuAB 問14（IPA）