サイバーセキュリティ経営ガイドライン（Ver2.0）｜情報処理安全確保支援士 平成30年 秋期午前Ⅱ試験 問6
出典：平成30年秋期 午前Ⅱ 問6
分野：セキュリティ ／ 情報セキュリティ管理
経済産業省とIPAが策定した"サイバーセキュリティ経営ガイドライン（Ver2.0）"の説明はどれか。
- ア：企業がIT活用を推進していく中で，サイバー攻撃から企業を守る観点で経営者が認識すべき3原則と，情報セキュリティ対策を実施する上での責任者となる担当幹部に，経営者が指示すべき事項をまとめたもの
- イ：経営者が情報セキュリティについて方針を示し，マネジメントシステムの要求事項を満たすルールを定め，組織が保有する情報資産をCIAの観点から維持管理し，継続的に見直すためのプロセス及び管理策を体系的に規定したもの
- ウ：事業体のITに関する経営者の活動を，大きくITガバナンス（統制）とITマネジメント（管理）に分割し，具体的な目標と工程として40のプロセスを定義したもの
- エ：世界的規模で生じているサイバーセキュリティ上の脅威の深刻化に関して，企業の経営者を支援する施策を総合的かつ効果的に推進するための国の責務を定めたもの
TSUNAGARU-ADVICE
まず押さえたいこと
サイバーセキュリティ経営ガイドラインは、企業がIT活用を進める中で、サイバー攻撃から企業を守るために経営者が認識すべき原則と、担当幹部へ指示すべき事項をまとめたものです。ポイントは、セキュリティを現場任せにせず、経営課題としてサイバーセキュリティに取り組むことです。
迷ったときの判断軸
ISMSの要求事項や管理策を体系化したものはISO/IEC 27001などに近い説明です。ITガバナンスとITマネジメントのプロセスを整理したものはCOBIT、国の責務を定めるものはサイバーセキュリティ基本法に近い内容です。サイバーセキュリティ経営ガイドラインは、経営者が認識すべき原則と指示すべき事項を示すものと判断しましょう。
科目Bにつなげるために
科目Bでは、インシデント対応体制・委託先管理・リスク管理・予算確保・CSIRT・経営層への報告などと絡めて問われることがあります。サイバーセキュリティ対策は技術部門だけの問題ではなく、経営者がリスクを理解し、責任をもって体制と資源を整える視点で整理しておきましょう。
「サイバーセキュリティ経営ガイドライン（Ver2.0）」は、企業がITを活用して事業を進める中で、サイバー攻撃による経営上のリスクに対応するために、経営者が認識すべき考え方や実施すべき対策を示したものです。
具体的には、経営者が認識すべき3原則と、セキュリティ対策を担当する幹部に対して経営者が指示すべき重要事項をまとめています。サイバーセキュリティを技術部門だけの課題ではなく、経営課題として扱う点が重要です。
したがって、アが適切です。
❌他選択肢が誤りの理由イ：経営者が情報セキュリティについて方針を示し，マネジメントシステムの要求事項を満たすルールを定め，組織が保有する情報資産をCIAの観点から維持管理し，継続的に見直すためのプロセス及び管理策を体系的に規定したもの
⇒ISMS及びISO/IEC 27001に関する説明です。組織の情報セキュリティマネジメントシステムを構築・運用・改善するための要求事項を定めたものであり、経営者が認識すべき3原則と担当幹部への指示事項をまとめたガイドラインとは異なります。
ウ：事業体のITに関する経営者の活動を，大きくITガバナンス（統制）とITマネジメント（管理）に分割し，具体的な目標と工程として40のプロセスを定義したもの
⇒COBITに関する説明です。COBITは、ITガバナンス及びITマネジメントのためのフレームワークであり、ITに関する目標やプロセスを体系化したものです。
エ：世界的規模で生じているサイバーセキュリティ上の脅威の深刻化に関して，企業の経営者を支援する施策を総合的かつ効果的に推進するための国の責務を定めたもの
⇒国の責務や施策を定める法律に関する説明です。「サイバーセキュリティ経営ガイドライン」は、国の責務を法的に定めたものではなく、企業の経営者が実践すべき考え方や指示事項を示したガイドラインです。