経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン(Ver 2.0)”に関する記述のうち、適切なものはどれか。

選択肢

• ア経営者が、実施するサイバーセキュリティ対策を投資ではなくコストとして捉えることを重視し、コストパフォーマンスの良いサイバーセキュリティ対策をまとめたものである。
• イ経営者が認識すべきサイバーセキュリティに関する原則と、経営者がリーダシップを発揮して取り組むべき項目を取りまとめたものである。
• ウ事業の規模やビジネスモデルによらず、全ての経営者が自社に適用すべきサイバーセキュリティ対策を定めたものである。
• エ製造業のサプライチェーンを構成する小規模事業者の経営者が、サイバー攻撃を受けた際に行う事後対応をまとめたものである。

正解と解説

正解：イ 経営者が認識すべきサイバーセキュリティに関する原則と、経営者がリーダシップを発揮して取り組むべき項目を取りまとめたものである。

サイバーセキュリティ経営ガイドラインは、経営者が認識すべき3原則と、経営者がCISO等に指示すべき重要10項目で構成されている。セキュリティ対策を経営課題と位置づけ、経営者のリーダシップのもとで取り組むべき事項を整理したものである。対策をコストではなく投資として捉えることを促しており、個別具体の対策を一律に義務づけるものでも、小規模事業者の事後対応に限定したものでもない。

選択肢ごとの解説

• アガイドラインはセキュリティ対策を必要な投資と位置づけており、コストとして捉える立場ではない。
• イ正しい。経営者が認識すべき原則と、リーダシップを発揮して取り組む項目を整理したものである。
• ウ規模やビジネスモデルによらず一律に適用すべき個別対策を定めたものではない。
• エ小規模事業者の事後対応に限定した文書ではなく、経営者一般に向けた指針である。

この問題に出た用語

• サイバーセキュリティ経営ガイドライン
• IPA

同じ分野の他の問題

• 労働基準法で定める制度のうち、いわゆる36協定と呼ばれる労使協定に関する制度はどれか。2025年度 春期 午前Ⅱ 問25
• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準(令和5年)”によれば、“記録した取引に漏れ、重複がないこと…2025年度 春期 午前Ⅱ 問14
• システム監査基準(令和5年)におけるシステム監査基準の説明として、適切なものはどれか。2024年度 春期 午前Ⅱ 問14
• ユーザーから請け負うソフトウェア開発を下請事業者に委託し、下請代金支払遅延等防止法の適用を受ける場合に禁止されている行為…2023年度 春期 午前Ⅱ 問25
• システム管理基準（平成30年）に基づく、ITガバナンスにおける情報システムの資源管理の監査で判明した経営陣の対応のうち、…2023年度 春期 午前Ⅱ 問14