情報処理安全確保支援士試験 情報処理安全確保支援士試験 平成29年度春期 午前Ⅰ 問14: 経済産業省と IPA が策定した“サイバーセキュリティ経営ガイドライン（Ver1.1）”の説明はどれか。

正解

ア. 企業が IT 活用を推進していく中で，サイバー攻撃から企業を守る観点で経営者が認識すべき 3 原則と，情報セキュリティ対策を実施する上での責任者となる担当幹部に，経営者が指示すべき事項をまとめたもの

問題の解説

サイバーセキュリティ経営ガイドラインは、経営者がリーダーシップを発揮するための「経営者が認識すべき3原則」と、対策責任者(CISO等)へ「経営者が指示すべき重要事項」を整理した文書。アが正解。セキュリティを経営課題と位置づけ、投資判断やインシデント備えを経営層の責務として示す実務指針である。

選択肢ごとの解説

• ア経営者の3原則と担当幹部への指示事項をまとめたもので、本ガイドラインの説明として正しい。
• イCIA維持のための管理策を体系化した枠組みはISMS(ISO/IEC 27001)の説明で誤り。
• ウITガバナンスとマネジメントを37プロセスで定義はCOBITの説明であり誤り。
• エ国の責務を定めた法はサイバーセキュリティ基本法の趣旨であり、本ガイドラインではない。