正解：イ
各選択肢の解説
ア最高情報セキュリティ責任者（CISO）
誤り。CISOは、経営者から任されて全社の情報セキュリティ対策を統括する役員です。 対策の実務の責任者なので最終責任も負うと思いがちですが、任命した側の責任は 任せても消えません。CISOは指示を受けて動く側、最終責任は任命した経営者の側です。
イ最高経営責任者（CEO）
正解。CEOは経営全体に最終的な責任を負う役員です。CISOを任命して対策を任せても、 サイバー攻撃のリスクは経営リスクの一つなので、結果への責任は経営者に残ります。
ウ最高情報責任者（CIO）
誤り。CIOは、情報システムやIT投資の方針を経営の立場で決める役員です。 攻撃の対象がシステムなので担当に見えますが、CIOも経営者から分野を任される側で、 CISOを任命して全社の結果に最終責任を負う立場ではありません。
エ最高デジタル責任者（CDO）
誤り。CDOは、デジタル技術を使った事業や業務の変革を推進する役員です。 デジタル化が進むほど攻撃の影響が広がるため関わりはありますが、 変革の推進を任される側であり、全社のリスクの最終責任者ではありません。
理解を深めるために
任せることはできても、責任は手放せない
店長が防犯の担当者を決めて鍵の管理や見回りを任せても、店が泥棒に入られたときに 本部へ説明するのは店長です。担当者を置くのは実務を回すためで、店を預かる責任まで 移るわけではありません。
会社の情報セキュリティも同じです。CISOを置くのは対策を全社で統括させるためで、 最終的な責任は任命した経営者に残ります。
なぜ経営者が責任を負うのか
- サイバー攻撃は、事業の停止、取引先への損害、信用の失墜につながる。 これは情報システム部門の問題ではなく、経営そのもののリスクである
- 対策には予算と人員が要る。資源を割り当てる判断ができるのは経営者である
- 経済産業省とIPAの「サイバーセキュリティ経営ガイドライン」も、経営者がリスクを認識し、 CISOなどの責任者に指示して対策を進める構図を示している
CISOは「経営者から任されて統括する人」、CEOは「任せた上で結果に責任を負う人」と 押さえると、両者の位置関係を取り違えません。
混同しやすいものとの違い
| 役員 | 担う範囲 | この場面での位置 |
|---|---|---|
| CEO | 経営全体の最終責任 | CISOを任命し、結果に責任を負う |
| CISO | 全社の情報セキュリティ対策の統括 | 任命されて対策を進める |
| CIO | 情報システムとIT投資の方針 | システム面で協力する |
| CDO | デジタルによる事業変革の推進 | 変革を進める側 |
「誰が任命したか」「誰が任されたか」を問題文から読み取ると、最終責任の所在が決まります。