経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン（Ver 1.1）”に従った経営者の対応はどれか。

選択肢

• ア緊急時における最高情報セキュリティ責任者（CISO）の独断専行を防ぐために，経営者レベルの権限をもたない者をCISOに任命する。
• イサイバー攻撃が模倣されることを防ぐために，自社に対して行われた攻撃についての情報を外部に一切提供しないよう命じる。
• ウサイバーセキュリティ人材を確保するために，適切な処遇の維持，改善や適切な予算の確保を指示する。
• エビジネスパートナとの契約に当たり，ビジネスパートナに対して自社が監査を実施することやビジネスパートナのサイバーセキュリティ対策状況を自社が把握することを禁止する。

正解と解説

正解：ウ サイバーセキュリティ人材を確保するために，適切な処遇の維持，改善や適切な予算の確保を指示する。

サイバーセキュリティ経営ガイドラインは、経営者が認識すべき3原則と、担当幹部へ指示すべき重要10項目を示している。その中でセキュリティ人材の育成・確保は経営者の責務とされ、適切な処遇と予算の確保を指示することが求められている。

選択肢ごとの解説

• アCISOには経営者レベルの権限を与え、責任をもって指揮できるようにすべきである。
• イ被害情報の共有は同種の被害の拡大防止につながるため、関係機関との情報共有が推奨されている。
• ウ正しい。人材確保のための処遇維持・改善と予算確保を指示するのは経営者の役割である。
• エサプライチェーン全体の対策が求められており、ビジネスパートナの対策状況の把握はむしろ必要である。

同じ分野の他の問題

• 組織的なインシデント対応体制の構築を支援する目的でJPCERTコーディネーションセンターが作成したものはどれか。2026年度 公開問題 科目A・B 問2
• JPCERT/CC "CSIRTガイド（2015年11月26日）"では、CSIRTを活動とサービス対象によって六つに分類…2019年度 春期 午前 問2
• 情報セキュリティ管理を推進する取組みa～dのうち，IPA“中小企業の情報セキュリティ対策ガイドライン（第2.1版）”にお…2018年度 秋期 午前 問10
• JIS Q 27014:2015（情報セキュリティガバナンス）における，情報セキュリティガバナンスの範囲とITガバナンス…2018年度 秋期 午前 問8
• SaaS（Software as a Service）を利用するときの企業の情報セキュリティ管理に関する記述のうち，適切…2018年度 秋期 午前 問5