平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問6
テクノロジ／セキュリティ経済産業省と IPA が策定した“サイバーセキュリティ経営ガイドライン（Ver 2.0）”の説明はどれか。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問6
- ア企業が IT 活用を推進していく中で，サイバー攻撃から企業を守る観点で経営者が認識すべき 3 原則と，情報セキュリティ対策を実施する上での責任者となる担当幹部に，経営者が指示すべき事項をまとめたもの
- イ経営者が情報セキュリティについて方針を示し，マネジメントシステムの要求事項を満たすルールを定め，組織が保有する情報資産を CIA の観点から維持管理し，それらを継続的に見直すためのプロセス及び管理策を体系的に規定したもの
- ウ事業体の IT に関する経営者の活動を，大きく IT ガバナンス（統制）と IT マネジメント（管理）に分割し，具体的な目標と工程として 37 のプロセスを定義したもの
- エ世界的規模で生じているサイバーセキュリティ上の脅威の深刻化に関して，企業の経営者を支援する施策を総合的かつ効果的に推進するための国の責務を定めたもの
正解：ア
解説
“サイバーセキュリティ経営ガイドライン（Ver 2.0）”は，経済産業省と IPA が策定したもので，経営者がサイバー攻撃から企業を守る観点で認識すべき 3 原則と，情報セキュリティ対策の実務責任者となる担当幹部（CISO 等）に対して経営者が指示すべき重要 10 項目をまとめた指針です。
選択肢ごとの解説
- ア正しい。サイバーセキュリティ経営ガイドラインは，経営者が認識すべき 3 原則と，担当幹部に指示すべき事項をまとめたものです。
- イ誤り。これは ISO/IEC 27001（情報セキュリティマネジメントシステム）の説明です。
- ウ誤り。これは COBIT（IT ガバナンス・マネジメントのフレームワーク）の説明です。
- エ誤り。これはサイバーセキュリティ基本法など国の施策に関する説明であり，経営者向けガイドラインの内容ではありません。