平成29年度 春期 応用情報技術者試験 午前 問39
テクノロジ／セキュリティ経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン（Ver1.1）”の説明はどれか。
出典：平成29年度 春期 応用情報技術者試験 午前 問39
- ア企業がIT活用を推進していく中で，サイバー攻撃から企業を守る観点で経営者が認識すべき3原則と，情報セキュリティ対策を実施する上での責任者となる担当幹部に，経営者が指示すべき事項をまとめたもの
- イ経営者が，情報セキュリティについて方針を示し，マネジメントシステムの要求事項を満たすルールを定め，組織が保有する情報をCIAの観点から維持し，継続的に見直すためのプロセス及び管理策を体系的に規定したもの
- ウ事業体のITに関する経営者の活動を大きくITガバナンス（統制）とITマネジメント（管理）に分割し，具体的な目標と工程として37のプロセスを定義したもの
- エ世界的規模で生じているサイバーセキュリティ上の脅威に関して，企業の経営者を支援する施策を総合的かつ効果的に推進するための国の責務を定めたもの
正解：ア
解説
“サイバーセキュリティ経営ガイドライン”は，経営者がサイバー攻撃から企業を守る観点で認識すべき3原則と，情報セキュリティ対策の実施責任者となる担当幹部（CISOなど）に対して経営者が指示すべき重要10項目をまとめたものです。
選択肢ごとの解説
- ア正しい。経営者が認識すべき3原則と，対策実施の責任者に指示すべき事項をまとめたものが本ガイドラインです。
- イ誤り。方針の提示からマネジメントシステムの要求事項，CIAの維持・継続的な見直しまでを体系的に規定するのはISMS（ISO/IEC 27001）などの説明です。
- ウ誤り。ITガバナンスとITマネジメントに分割し37のプロセスを定義するのはCOBITの説明です。
- エ誤り。国の責務を定めるのはサイバーセキュリティ基本法の説明であり，本ガイドラインは企業の経営者向けの手引です。