応用情報技術者試験 応用情報技術者試験 令和3年度春期 午前 問41: 経済産業省と IPA が策定した“サイバーセキュリティ経営ガイドライン（Ver2.0）”の説明はどれか。

正解

ア. 企業が IT 活用を推進していく中で，サイバー攻撃から企業を守る観点で経営者が認識すべき 3 原則と，サイバーセキュリティ対策を実施する上での責任者となる担当幹部に，経営者が指示すべき重要 10 項目をまとめたもの

正答率 66.2%（1,493人中 988人が正解）

問題の解説

サイバーセキュリティ経営ガイドラインは、経済産業省とIPAが、経営者がリーダーシップをとってサイバーセキュリティ対策を進めるためにまとめた文書である。その中心は、経営者が認識すべき“3原則”と、対策の実務責任者（CISO等）に経営者が指示すべき“重要10項目”であり、これを過不足なく述べている選択肢アが正解である。

選択肢ごとの解説

• ア経営者向けの“3原則”と、担当幹部へ指示すべき“重要10項目”という、このガイドラインの骨格を正しく説明しており正解である。
• イ方針策定・マネジメントシステムの要求事項・CIA（機密性・完全性・可用性）の維持管理・継続的見直しを体系化したものは、情報セキュリティマネジメントシステム（ISMS／JIS Q 27001）の説明であり誤りである。
• ウITの活動をITガバナンスとITマネジメントに分けて多数のプロセスを定義したものは、ITガバナンスのフレームワークであるCOBITの説明であり誤りである。
• エ国の責務を定めたものは、サイバーセキュリティ基本法など“国の施策・責務”を規定する法令の説明であって、経営者向けガイドラインの説明ではないため誤りである。