経営者のサイバーセキュリティ責任｜ITパスポート 令和8年 公開問題 問79
出典：令和8年 公開問題 問79
分野：技術要素 ／ セキュリティ
企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対応策の推進において，経営者に求められる役割として，最も適切なものはどれか。
- ア：IT 部門のセキュリティ担当者に，部門ごとのサイバーセキュリティリスク対応方針の策定と実行を全て任せる。
- イ：サイバーセキュリティ対策を実施する上での責任者となる CISO を任命し，実行や判断を全て任せる。
- ウ：実施方針の検討，予算や人材の割当て，実施状況の確認や問題の把握と対応を通じて自らリーダーシップを発揮する。
- エ：専門家である外部の経営コンサルタントに，自社の組織や事業におけるリスクの分析と対策の推進に関する権限と責任を委譲する。
TSUNAGARU-ADVICE
まず押さえたいこと
経営者は企業のサイバーセキュリティリスクに責任を持ち、リスク管理体制の構築と維持に主体的に関与します。方針決定、資源配分、実施状況の監督が不可欠です。
迷ったときの判断軸
経営者の権限委譲先を検討する際は、経営者自身の最終責任とリーダーシップの保持状況を確認します。全面委譲や現場任せは誤りです。
次の学習につなげるために
サイバーセキュリティに限らず、経営戦略におけるリスクマネジメントの役割分担や監督責任の範囲を理解すると応用が効きます。
リスクマネジメントにおける経営者の役割は組織全体のリスク管理体制を構築し、リスク対応方針の策定と実行を監督することです。サイバーセキュリティリスク対応においても経営者自らがリーダーシップを発揮し、実施方針の検討、必要な予算や人材の配分、実施状況の確認および問題発見時の対応まで関与する必要があります。
選択肢ウはこの観点を踏まえ、経営者が自ら指導的な立場から推進する役割を示しているため適切です。これに対し選択肢アは業務の全権をIT部門に任せてしまうため、経営者の責任範囲が不明確になります。イはCISOへの権限委譲のみで経営者が直接関与しないため不十分です。エは外部コンサルタントへの権限委譲で経営者の主導性が失われます。
したがって、ウが適切です。
❌他選択肢が誤りの理由
ア：IT 部門のセキュリティ担当者に，部門ごとのサイバーセキュリティリスク対応方針の策定と実行を全て任せる。
⇒経営者自身のリーダーシップを発揮せず責任を委譲し過ぎているため不適切です。
イ：サイバーセキュリティ対策を実施する上での責任者となる CISO を任命し，実行や判断を全て任せる。
⇒CISO任命は重要ですが、経営者の監督責任や方針決定の関与が欠けているため不適切です。
エ：専門家である外部の経営コンサルタントに，自社の組織や事業におけるリスクの分析と対策の推進に関する権限と責任を委譲する。
⇒外部専門家に権限を全面委譲するのは経営者の責任放棄となり不適切です。