平成29年度 秋期 情報セキュリティマネジメント試験 午前 問1
テクノロジ／セキュリティ経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン（Ver 1.1）”に従った経営者の対応はどれか。
出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問1
- ア緊急時における最高情報セキュリティ責任者（CISO）の独断専行を防ぐために，経営者レベルの権限をもたない者をCISOに任命する。
- イサイバー攻撃が模倣されることを防ぐために，自社に対して行われた攻撃についての情報を外部に一切提供しないよう命じる。
- ウサイバーセキュリティ人材を確保するために，適切な処遇の維持，改善や適切な予算の確保を指示する。
- エビジネスパートナとの契約に当たり，ビジネスパートナに対して自社が監査を実施することやビジネスパートナのサイバーセキュリティ対策状況を自社が把握することを禁止する。
正解：ウ
解説
“サイバーセキュリティ経営ガイドライン（Ver 1.1）”は、経営者がリーダーシップを発揮してサイバーセキュリティ対策を推進するための指針で、人材確保のための処遇改善や予算確保など経営資源の投入を経営者に求めています。CISOへの適切な権限付与や、攻撃情報の共有、ビジネスパートナへの対策状況の把握なども重要な対応として挙げられています。
選択肢ごとの解説
- ア誤り。CISOには緊急時に迅速な意思決定ができるよう、経営者レベルの十分な権限を与えるべきとされています。
- イ誤り。自社が受けた攻撃の情報は、関係機関や業界内で共有することが被害拡大防止に有効とされ、外部への提供を一切禁止する対応は適切ではありません。
- ウ正しい。人材確保のための処遇改善や予算確保の指示は、経営者が行うべき対応として挙げられています。
- エ誤り。ビジネスパートナのサイバーセキュリティ対策状況を自社が把握することは、サプライチェーン全体のリスク管理として推奨されており、禁止するのは適切ではありません。