サイバーセキュリティ経営ガイドラインとは？

サイバーセキュリティ経営ガイドラインの意味

経済産業省とIPAが、経営者がリーダーシップを発揮してサイバーセキュリティ対策に取り組むべき指針をまとめたガイドライン。経営者が認識すべき3原則と、担当幹部に指示すべき重要10項目から構成される。

サイバーセキュリティ経営ガイドラインの具体例

中堅企業の経営者が、セキュリティ投資を経営課題として位置づけ、CISO相当の担当役員にインシデント対応体制の整備を指示する際の根拠として本ガイドラインが参照される。

サイバーセキュリティ経営ガイドラインは試験でどう引っ掛けられる？

「重要10項目」は現場のIT部門ではなく経営者・担当幹部に向けた指示事項である点、セキュリティ対策を単なる技術対応でなく経営リスクとして扱う点が問われやすい。

サイバーセキュリティ経営ガイドラインと関連する用語

• 中小企業の情報セキュリティ対策ガイドライン
• サイバーセキュリティ基本法

サイバーセキュリティ経営ガイドラインが出た過去問

• 経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン（Ver 1.1）”に従った経営者の対応はどれか。

  正解：サイバーセキュリティ人材を確保するために，適切な処遇の維持，改善や適切な予算の確保を指示する。

  要点：経営者はセキュリティ人材の処遇と予算の確保を指示する

  サイバーセキュリティ経営ガイドラインは、経営者が認識すべき3原則と、担当幹部へ指示すべき重要10項目を示している。その中でセキュリティ人材の育成・確保は経営者の責務とされ、適切な処遇と予算の確保を指示することが求められている。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問1（IPA）

• 経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン（Ver1.1）”が、自社のセキュリティ対策に加えて、実施状況を確認すべきとしている対策はどれ…

  正解：自社のサプライチェーンのビジネスパートナが行うセキュリティ対策

  要点：自社だけでなく委託先・取引先まで含めた対策確認が必要

  サイバーセキュリティ経営ガイドラインは、経営者が認識すべき3原則の一つとして、自社だけでなく系列企業・委託先・取引先を含むサプライチェーン全体での対策を挙げている。重要10項目でもビジネスパートナや委託先の対策実施状況の把握・監査が求められる。攻撃者が対策の弱い取引先を踏み台にする事例が増えたことが背景にある。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問2（IPA）