サイバーセキュリティ経営ガイドラインとは？さいばーせきゅりてぃけいえいがいどらいん
サイバーセキュリティ経営ガイドラインとは、経済産業省とIPAが示した、経営者がサイバーセキュリティに取り組むための指針。経営者が認識すべき3原則（経営者自らのリーダーシップ、ビジネスパートナーや委託先を含めた対策、平時からの関係者との適切なコミュニケーション）と、担当幹部（CISOなど）へ指示すべき重要10項目からなる。ST試験では、情報セキュリティが経営にもたらす影響を扱う文脈で明示的に挙げられる。
最終更新：2026-10-06
ITストラテジストを最短で暗記・合格する →背景
セキュリティ投資は事故が起きなければ効果が見えないため、現場から積み上げる稟議では後回しにされ続ける。他方で被害は事業停止・賠償・信用失墜という形で経営そのものに出る。そこで「投資判断をする側が何を認識し、何を指示すべきか」を国が言語化し、担当部門ではなく経営者の宿題として置き直したのがこの指針の役割になる。経営会議では「セキュリティ投資は費用ではなく事業継続のための投資であり、指針が求めているのは対策の網羅ではなく、経営として指示を出し報告を受ける体制です」と、対策一覧の話へ落とさずに説明するのが要点になる。
具体例
経済産業省とIPAが公開する版に沿って、委託先を含めた対策状況を年次で確認し、インシデント発生時の公表・報告体制を平時から定めておく企業が増えている。IPAはこの指針に沿って自社の取組状況を段階で自己診断する「サイバーセキュリティ経営可視化ツール」も出しており、中期経営計画のセキュリティ項目の現在地を示す材料に使える。
試験での引っ掛け
対策の範囲にビジネスパートナーと委託先を含める点が3原則の要点で、自社内だけの対策では不十分とされる。またこれは指針であって認証制度ではなく、ISMS（ISO/IEC 27001）の認証取得とは別の枠組みになる。「経営者が指示すべき10項目」を情報システム部門の作業一覧として読み替えるのも本旨を外しており、指示を出すのも報告を受けるのも経営者の役割として書かれている。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。