正解：ア
各選択肢の解説
ア経営者が認識すべき3原則と、責任者に指示すべき重要10項目を示している。
正解。セキュリティを担当部門任せにせず、経営者がリーダーシップを取ること、 委託先を含むサプライチェーン全体に目を配ること、関係者と意思疎通を図ること を3原則とし、CISOなどへ指示すべき事項を10項目にまとめています。
イ中小企業が対策を始める際の進め方や、自社で点検するための手順をまとめている。
誤り。これは中小企業の情報セキュリティ対策ガイドラインです。どちらも経営層 向けの記述を含みますが、こちらは人員の限られた企業が何から着手するかという 実践の手引きで、経営者が出すべき指示を体系立てて示すものではありません。
ウウイルスの感染を予防し、発見したときに被害を最小限に抑える実施事項を示している。
誤り。これはコンピュータウイルス対策基準の内容です。利用者や管理者が現場で 取るべき行動をまとめたもので、経営者が組織全体をどう動かすかという視点では ありません。読み手が経営者か、現場の担当者かが違います。
エ不正アクセスを防ぎ、被害を受けた場合の復旧のために取るべき措置を示している。
誤り。これはコンピュータ不正アクセス対策基準の内容です。ウイルス対策基準と 対になる運用寄りの基準で、こちらも具体的な対策が中心です。投資判断や 体制づくりといった経営としての関与を扱うものではありません。
理解を深めるために
セキュリティは「経営の問題」だと言い切った文書
対策にいくら使うか、どこまでを許容するかは、現場では決められません。 サイバーセキュリティ経営ガイドラインは、経済産業省とIPAが経営者に向けて まとめたもので、「担当者に任せた」で済ませないための道具です。 経営者が自ら認識すべき3原則と、CISOなどの責任者に指示すべき重要10項目という 二段構えになっています。
3原則が言っていること
- サイバーセキュリティリスクは経営上の重要課題であり、経営者が旗を振る
- 自社だけでなく、子会社や委託先を含むサプライチェーン全体に目を配る
- 平時も緊急時も、関係者との積極的なコミュニケーションを欠かさない
3つとも、技術ではなく関与の姿勢を述べている点に注目してください。 重要10項目は、この姿勢を実行に移すために「何を指示するか」を並べたものです。
混同しやすいものとの違い
| 文書 | 主な読み手 |
|---|---|
| サイバーセキュリティ経営ガイドライン | 企業の経営者（指示を出す立場） |
| 中小企業の情報セキュリティ対策ガイドライン | 中小企業（着手の手引きが要る立場） |
| コンピュータウイルス対策基準 | 情報システムの利用者・管理者 |
| コンピュータ不正アクセス対策基準 | 情報システムの利用者・管理者 |
試験では「経営者」「3原則」「重要10項目」という語が手がかりになります。 現場の実施事項を並べた基準とは、読み手が違うと押さえておけば選び分けられます。