CISO・情報セキュリティガバナンスとは？しーあいえすおーじょうほうせきゅりてぃがばなんす
CISO・情報セキュリティガバナンスとは、情報セキュリティを経営課題として扱い、方針の決定・資源配分・監督までを経営層の責任で行う枠組みが情報セキュリティガバナンスで、その執行責任を担う役員がCISOである。現場任せにせず、取締役会が定期的に報告を受けて是正を指示する流れを作れているかが、実効性を分ける。
最終更新：2026-10-06
この語が出る過去問を解く →背景
セキュリティ対策を情報システム部門の運用課題として扱うと、予算は開発案件と同じ枠を奪い合うことになって後回しになり、事故が起きて初めて経営が知る構造になる。事業継続と信用に直結する以上、投資の優先順位を決められるのは経営層しかいない。経済産業省とIPAのサイバーセキュリティ経営ガイドラインは、経営者が認識すべき3原則と指示すべき重要10項目という形でこの責任を明文化している。
具体例
同ガイドラインは、CISOなどの責任者を任命して体制を構築すること、サイバーセキュリティリスクを経営リスクとして把握し予算を確保することを指示項目に挙げている。実務では、四半期ごとにインシデント件数・脆弱性の未修正日数・訓練の受講率を取締役会へ報告し、予算をシステム部門の枠から切り離して審議する形をとる。
試験での引っ掛け
ガバナンスは「統制の仕組みを監督する」ことで、日々の運用を指揮するマネジメントとは階層が異なる。CIOがCISOを兼務すると投資推進と統制が同一人物に集まり、利益相反を招きやすい点も論点になる。またCISOの設置は法令上の一律義務ではなく、ガイドラインが求める体制整備の一形態である。
関連用語
出た過去問
出典：令和4年度 春期 ITストラテジスト試験 午前Ⅱ 問24（IPA）
出典：令和6年度 春期 ITストラテジスト試験 午前Ⅱ 問25（IPA）
“政府情報システムのためのセキュリティ評価制度(ISMAP)管理基準(令和5年9月22日最終改定)”に関する記述のうち,適切なものはどれか。
正解：ガバナンス基準の実施主体は経営陣であり,情報セキュリティガバナンスのプロセスとして,評価,指示,モニタ,コミュニケーション及び保証の各プロセスが定められている。
要点：ISMAP管理基準はガバナンス・マネジメント・管理策の三構成
ISMAP管理基準はガバナンス基準、マネジメント基準、管理策基準の三つで構成される。ガバナンス基準は経営陣が実施主体で、評価・指示・モニタ・コミュニケーション・保証の各プロセスを定めている。
出典・参考
高度試験 午前I（高度午前I 相当）のシラバスの6 サービスマネジメント ＞ 2. 内部統制 ＞ (2) IT ガバナンスに掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。