サイバーセキュリティ経営ガイドラインとは？

サイバーセキュリティ経営ガイドラインの意味

経済産業省とIPAが示す経営者向けの指針。経営者が認識すべき「3原則」と、担当幹部（CISO等）に指示すべき「重要10項目」で構成され、セキュリティ投資を経営課題として位置づける。

サイバーセキュリティ経営ガイドラインの具体例

取締役会でセキュリティ予算が毎年削られていた。3原則のうち委託先も含めた対策を根拠に、委託先30社の点検費用を計上。重要10項目に沿ってCISOを任命し、インシデント対応体制と年1回の演習結果を経営者への定例報告事項として規程に定めた。

サイバーセキュリティ経営ガイドラインは試験でどう引っ掛けられる？

対象は経営層であり、技術者向けの実装手順書ではない。「3原則と重要10項目」という構成が問われる。

サイバーセキュリティ経営ガイドラインと関連する用語

• CISO
• NIST CSF
• SECURITY ACTION

サイバーセキュリティ経営ガイドラインが出た過去問

• 経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン(Ver2.0)”の説明はどれか。

  正解：企業がIT活用を推進していく中で,サイバー攻撃から企業を守る観点で経営者が認識すべき3原則と,情報セキュリティ対策を実施する上での責任者となる担当幹部に,経営者が指示すべき事項をまとめたもの

  要点：経営者向けの3原則と指示すべき事項を示す指針

  サイバーセキュリティ経営ガイドラインは、経営者が認識すべき3原則と、セキュリティ対策の責任者へ経営者が指示すべき重要10項目をまとめたものです。セキュリティを経営課題として扱う視点を示す文書で、法令やマネジメントシステム規格とは性格が異なります。

  出典：平成30年度 秋期 情報処理安全確保支援士試験 am2 問6（IPA）

• 経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン (Ver 2.0)”に関する記述のうち、適切なものはどれか。

  正解：経営者が認識すべきサイバーセキュリティに関する原則と、経営者がリーダシップを発揮して取り組むべき項目を取りまとめたものである。

  要点：経営ガイドラインは三原則と重要十項目を示す経営層向け指針

  サイバーセキュリティ経営ガイドラインは、経営者向けに認識すべき三原則と、CISOなどへ指示すべき重要十項目を示した文書である。セキュリティ投資は事業継続と企業価値を守るための投資と位置付けられ、系列企業や委託先を含めた対策、有事に備えた体制整備なども求めている。実施すべき技術的対策を細かく規定するものではなく、経営層のリーダーシップの拠り所となる指針である。

  出典：令和4年度 春期 情報処理安全確保支援士試験 am2 問9（IPA）