サイバーセキュリティ経営ガイドラインとは？さいばーせきゅりてぃけいえいがいどらいん
サイバーセキュリティ経営ガイドラインとは、経済産業省とIPAが策定した、経営者に向けた指針。経営者が認識すべき3原則と、経営者がCISOなどの担当幹部へ指示すべき重要10項目という構成をとり、技術者向けの実装手引ではなく経営判断の枠組みとして書かれている。
最終更新：2026-10-06
この語が出る過去問を解く →背景
セキュリティ投資は事故が起きなければ成果が見えないため、現場からの要望として上げても後回しにされやすい。判断の責任を経営者の側に明示的に置き、何を指示すべきかを項目として並べたことで、予算と体制の議論を経営会議の議題に乗せられるようにした。運用部門にとっては、投資を通す際の共通言語になる。
具体例
指示項目には、リスク管理体制の構築、サプライチェーンを含む対策の実施、インシデント発生時の緊急対応体制の整備などが並び、委託先や系列を含めた範囲まで目配りすることが3原則に含まれている。
試験での引っ掛け
名宛人が経営者である点が問われる。「情報システム部門が自部門の対策を徹底する」といった現場側の実装手順として書かれた選択肢は、このガイドラインの内容ではない。自社の内部だけを対象にした記述も誤りで、委託先を含むサプライチェーン全体が対象範囲に入る。
関連用語
出た過去問
出典：令和4年度 春期 ITサービスマネージャ試験 午前Ⅱ 問17（IPA）
経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン(Ver 2.0)”に関する記述のうち、適切なものはどれか。
正解：経営者が認識すべきサイバーセキュリティに関する原則と、経営者がリーダシップを発揮して取り組むべき項目を取りまとめたものである。
要点：経営者向けの3原則と重要10項目を示す経営指針
サイバーセキュリティ経営ガイドラインは、経営者が認識すべき3原則と、経営者がCISO等に指示すべき重要10項目で構成されている。セキュリティ対策を経営課題と位置づけ、経営者のリーダシップのもとで取り組むべき事項を整理したものである。対策をコストではなく投資として捉えることを促しており、個別具体の対策を一律に義務づけるものでも、小規模事業者の事後対応に限定したものでもない。
出典・参考
高度試験 午前I（高度午前I 相当）のシラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (8) 情報セキュリティに関する基準に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。