サイバーセキュリティ経営ガイドラインとは？さいばーせきゅりてぃけいえいがいどらいん
サイバーセキュリティ経営ガイドラインとは、経済産業省とIPAが示す、経営者向けのセキュリティ対策の指針。経営者が認識すべき3原則と、担当幹部に指示すべき重要10項目からなり、投資の判断、体制の整備、委託先を含めた対策、有事の対外説明までを経営の責務として並べている。
最終更新：2026-10-06
この語が出る過去問を解く →背景
対策が現場任せになると、予算も権限も足りないまま「できる範囲」で止まり、いざ事故が起きたときに誰も判断できない。判断できる立場の人が何を指示すべきかを列挙し、経営の課題として扱わせることを狙った文書がこれにあたる。中小企業向けには中小企業の情報セキュリティ対策ガイドラインが別に用意されており、規模に応じて使い分ける。
具体例
経営者がCISOを任命し、インシデント対応体制の整備と、委託先を含めた供給網全体の対策状況の把握を指示する際の根拠として参照される。取引先から自社の対策状況を問われたとき、10項目に沿って説明を組み立てる使い方もされる。
試験での引っ掛け
重要10項目は現場のIT部門向けではなく、経営者が担当幹部へ出す指示という位置づけで問われる。法令ではなく指針であり、従わないこと自体に罰則はない。認証を取得する制度でもなく、ISMS（JIS Q 27001）の認証やSECURITY ACTIONの自己宣言とは性質が異なる。
関連用語
出た過去問
出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問1（IPA）
経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン（Ver 1.1）”に従った経営者の対応はどれか。
正解：サイバーセキュリティ人材を確保するために，適切な処遇の維持，改善や適切な予算の確保を指示する。
要点：経営者はセキュリティ人材の処遇と予算の確保を指示する
サイバーセキュリティ経営ガイドラインは、経営者が認識すべき3原則と、担当幹部へ指示すべき重要10項目を示している。その中でセキュリティ人材の育成・確保は経営者の責務とされ、適切な処遇と予算の確保を指示することが求められている。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問2（IPA）
経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン（Ver1.1）”が、自社のセキュリティ対策に加えて、実施状況を確認すべきとしている対策はどれ…
正解：自社のサプライチェーンのビジネスパートナが行うセキュリティ対策
要点：自社だけでなく委託先・取引先まで含めた対策確認が必要
サイバーセキュリティ経営ガイドラインは、経営者が認識すべき3原則の一つとして、自社だけでなく系列企業・委託先・取引先を含むサプライチェーン全体での対策を挙げている。重要10項目でもビジネスパートナや委託先の対策実施状況の把握・監査が求められる。攻撃者が対策の弱い取引先を踏み台にする事例が増えたことが背景にある。
出典・参考
公式シラバスの1 技術要素 ＞ 2 情報セキュリティ管理 ＞ 情報セキュリティに関する基準に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。