正解：ウ
各選択肢の解説
アサイバーセキュリティ経営ガイドライン
誤り。経営者向けという点は同じですが、こちらは経営者が認識すべき原則と、 CISOなどの責任者に指示すべき事項を示す文書です。指示を受けて動く体制が ある企業を想定しており、ひな形を使って自ら手を動かす手引きではありません。
イISMS適合性評価制度
誤り。これは組織の管理の仕組みを第三者が審査して認証する制度で、手引き ではありません。まず認証を取るべきだと考えがちですが、審査に向けた体制や 費用が要り、何から始めるか迷っている段階の出発点には向きません。
ウ中小企業の情報セキュリティ対策ガイドライン
正解。IPAが公開する中小企業向けの手引きで、経営者編と実践編に分かれ、 付録に自社診断や情報セキュリティ基本方針・規程のサンプルが付いています。
エコンピュータ不正アクセス対策基準
誤り。利用者や管理者などの立場ごとに、不正アクセスへの対策を並べた告示の 基準です。対策の目安にはなりますが、不正アクセスに絞った内容で、自社診断 や規程のひな形を使って段階的に進める構成にはなっていません。
理解を深めるために
小さな会社の「最初の一冊」
専任の担当者がいない会社で、社長が一人で対策を考えるなら、 考え方と手順とひな形がそろった手引きが要ります。 中小企業の情報セキュリティ対策ガイドラインは、IPAがまさにその用途で公開している 文書で、個人事業主から中小企業までを対象にしています。 2026年3月には第4.0版が公開されました。
どんな構成になっているか
- 経営者編：経営者が認識すべき考え方と、経営者として実行すべきこと
- 実践編：できるところから始めて段階的に対策を進める手順
- 付録：自社診断、情報セキュリティ基本方針や関連規程のサンプルなど
このガイドラインに沿って対策に取り組むことを自ら宣言するのが SECURITY ACTIONです。ガイドラインで進め方を知り、宣言で取組を示す、 という関係になっています。
混同しやすいものとの違い
| 名称 | 何をするものか | 想定する読み手・対象 |
|---|---|---|
| 中小企業の情報セキュリティ対策ガイドライン | 考え方から実践までの手引き | 中小企業の経営者・担当者 |
| サイバーセキュリティ経営ガイドライン | 経営者が責任者に指示すべき事項 | 体制を持つ企業の経営者 |
| ISMS適合性評価制度 | 管理の仕組みの第三者認証 | 認証を取得する組織 |
| コンピュータ不正アクセス対策基準 | 立場ごとの不正アクセス対策 | 利用者・管理者・事業者など |
試験では「中小企業」「自社診断」「ひな形」「段階的に」といった語が手がかりです。 経営者向けでも「責任者に指示する」なら経営ガイドラインの側だと見分けましょう。