経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン (Ver 2.0)”に関する記述のうち、適切なものはどれか。

選択肢

• ア経営者が、実施するサイバーセキュリティ対策を投資ではなくコストとして捉えることを重視し、コストパフォーマンスの良いサイバーセキュリティ対策をまとめたものである。
• イ経営者が認識すべきサイバーセキュリティに関する原則と、経営者がリーダシップを発揮して取り組むべき項目を取りまとめたものである。
• ウ事業の規模やビジネスモデルによらず、全ての経営者が自社に適用すべきサイバーセキュリティ対策を定めたものである。
• エ製造業のサプライチェーンを構成する小規模事業者の経営者が、サイバー攻撃を受けた際に行う事後対応をまとめたものである。

正解と解説

正解：イ 経営者が認識すべきサイバーセキュリティに関する原則と、経営者がリーダシップを発揮して取り組むべき項目を取りまとめたものである。

サイバーセキュリティ経営ガイドラインは、経営者向けに認識すべき三原則と、CISOなどへ指示すべき重要十項目を示した文書である。セキュリティ投資は事業継続と企業価値を守るための投資と位置付けられ、系列企業や委託先を含めた対策、有事に備えた体制整備なども求めている。実施すべき技術的対策を細かく規定するものではなく、経営層のリーダーシップの拠り所となる指針である。

選択肢ごとの解説

• アガイドラインは対策をコストではなく投資として捉えるべきとしており、記述が逆である。
• イ正解。三原則と重要十項目という形で、経営者が認識し指示すべき事項をまとめている。
• ウ一律に適用すべき対策を定めたものではなく、規模や事業内容に応じた判断を前提としている。
• エ小規模事業者の事後対応に限った文書ではなく、対象は経営者一般で平時の備えも扱う。

同じ分野の他の問題

• NIST“サイバーセキュリティフレームワーク（CSF）2.0”のコアには、機能が六つある。IDENTIFY, PROTE…2025年度 春期 午前II 問12
• NIST“サイバーセキュリティフレームワーク:重要インフラのサイバーセキュリティを改善するためのフレームワーク1.1版”…2023年度 春期 午前II 問9
• 経済産業省が“サイバー・フィジカル・セキュリティ対策フレームワーク（Version 1.0）”を策定した主な目的の一つは…2020年度 10月試験 午前II 問7
• 経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン(Ver2.0)”の説明はどれか。2018年度 秋期 午前II 問6
• システム監査基準(令和5年)に基づくシステム監査において,リスク評価に基づいた監査計画の策定で考慮すべき事項として,適切…2025年度 秋期 午前II 問25