CISO・情報セキュリティガバナンスとは？

CISO・情報セキュリティガバナンスの意味

セキュリティを経営課題として扱い、方針の決定、資源配分、監督までを経営層の責任で行う枠組みと、その責任者であるCISO。現場任せにせず、取締役会が報告を受けて是正を指示する流れをつくることが、実効性を左右する。

CISO・情報セキュリティガバナンスの具体例

CISOを役員として任命し、四半期ごとに取締役会へインシデント件数、脆弱性の未修正日数、訓練の報告率を提出する。予算は情報システム部門の枠から切り離し、セキュリティ独自の予算として審議することで対策が後回しになるのを防ぐ。

CISO・情報セキュリティガバナンスは試験でどう引っ掛けられる？

CIOが兼務する形は、投資推進と統制の役割が同一人物に集まるため利益相反を招きやすい。またガバナンスは統制の「仕組みを監督する」ことで、日々の運用を指揮するマネジメントとは階層が異なる。

CISO・情報セキュリティガバナンスと関連する用語

• サイバーセキュリティ経営ガイドライン
• ITガバナンス
• 情報セキュリティ監査

CISO・情報セキュリティガバナンスが出た過去問

• “政府情報システムのためのセキュリティ評価制度（ISMAP）管理基準”に関する記述のうち、適切なものはどれか。

  正解：ガバナンス基準の実施主体は経営陣であり、情報セキュリティガバナンスのプロセスとして、評価、指示、モニタ、コミュニケーション及び保証の各プロセスが定められている。

  要点：ISMAP管理基準はガバナンス・マネジメント・管理策の3構成

  ISMAP管理基準はガバナンス基準、マネジメント基準、管理策基準の3つで構成される。このうちガバナンス基準は経営陣を実施主体とし、情報セキュリティガバナンスを、評価・指示・モニタ・コミュニケーション・保証という各プロセスで実行することを求めている。

  出典：令和4年度 春期 ITストラテジスト試験 am2 問24（IPA）

• “政府情報システムのためのセキュリティ評価制度(ISMAP)管理基準(令和5年9月22日最終改定)”に関する記述のうち,適切なものはどれか。

  正解：ガバナンス基準の実施主体は経営陣であり,情報セキュリティガバナンスのプロセスとして,評価,指示,モニタ,コミュニケーション及び保証の各プロセスが定められている。

  要点：ISMAP管理基準はガバナンス・マネジメント・管理策の三構成

  ISMAP管理基準はガバナンス基準、マネジメント基準、管理策基準の三つで構成される。ガバナンス基準は経営陣が実施主体で、評価・指示・モニタ・コミュニケーション・保証の各プロセスを定めている。

  出典：令和6年度 春期 ITストラテジスト試験 am2 問25（IPA）