令和8年度 ITパスポート試験 問79
テクノロジ／セキュリティ企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において，経営者に求められる役割として，最も適切なものはどれか。
出典：令和8年度 ITパスポート試験 問79
- アIT 部門のセキュリティ担当者に，部門ごとのサイバーセキュリティリスク対応方針の策定と実行を全て任せる。
- イサイバーセキュリティ対策を実施する上での責任者となる CISO を任命し，実行や判断を全て任せる。
- ウ実施方針の検討，予算や人材の割当て，実施状況の確認や問題の把握と対応を通じて自らリーダーシップを発揮する。
- エ専門家である外部の経営コンサルタントに，自社の組織や事業におけるリスクの分析と対策の推進に関する権限と責任を委譲する。
正解：ウ
解説
サイバーセキュリティ対策は，事業に影響するリスクへの対応であり，最終的な責任は経営者にあります。そのため経営者には，方針の検討，予算や人材の割当て，実施状況の確認や問題への対応などを通じて，自らがリーダーシップを発揮することが求められます。担当者や CISO，外部の専門家に支援してもらうことはできますが，責任や判断を全て任せきりにするのは適切ではありません。
選択肢ごとの解説
- ア誤り。担当者に全て任せるのでは，会社全体の事業リスクの観点での判断や，予算・人材の確保ができません。
- イ誤り。CISO を任命しても，実行や判断を全て任せきりにするのではなく，経営者自らが関与し責任を負う必要があります。
- ウ正しい。方針の検討から予算・人材の割当て，実施状況の確認と対応までを，経営者が自らリーダーシップを発揮して推進します。
- エ誤り。外部のコンサルタントは助言を受ける相手で，リスク分析や対策推進の権限と責任まで委譲することはできません。