企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において、経営者に求められる役割として、最も適切なものはどれか。

選択肢

• アIT部門のセキュリティ担当者に、部門ごとのサイバーセキュリティリスク対応方針の策定と実行を全て任せる。
• イサイバーセキュリティ対策を実施する上での責任者となるCISOを任命し、実行や判断を全て任せる。
• ウ実施方針の検討、予算や人材の割当て、実施状況の確認や問題の把握と対応を通じて自らリーダーシップを発揮する。
• エ専門家である外部の経営コンサルタントに、自社の組織や事業におけるリスクの分析と対策の推進に関する権限と責任を委譲する。

正解と解説

正解：ウ 実施方針の検討、予算や人材の割当て、実施状況の確認や問題の把握と対応を通じて自らリーダーシップを発揮する。

サイバーセキュリティは事業継続に直結する経営課題であり、経営者自身が方針を示して主導することが求められる。具体的には実施方針の検討、予算と人材の確保、実施状況の確認と問題への対応を自ら行う。担当者やCISO、外部コンサルタントに任命や委任はできても、最終的な責任まで丸投げすることはできない。

選択肢ごとの解説

• ア担当者へ全て任せる姿勢は、経営者が責任を放棄していることになる。
• イCISOの任命自体は適切だが、判断まで全て任せるのは経営者の役割を果たしていない。
• ウ自らリーダーシップを発揮するという記述で、これが正解。
• エ外部へ権限と責任を委譲しても、経営者の責任がなくなるわけではない。

同じ分野の他の問題

• ISMSの活動に関する記述として、最も適切なものはどれか。2026年度 秋期 問100
• 情報セキュリティ対策を、“技術的セキュリティ対策”、“人的セキュリティ対策”及び“物理的セキュリティ対策”に分類したとき…2026年度 秋期 問94
• 次のISMSにおける実施項目のうち、最初に行うものはどれか。2026年度 秋期 問93
• ISMSにおける情報セキュリティインシデントの管理に関する記述のうち、適切なものはどれか。2026年度 秋期 問70
• 情報セキュリティのリスクマネジメントにおけるリスク対応を、リスク移転、リスク回避、リスク低減及びリスク保有の四つに分けて…2025年度 秋期 問91