情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成29年度春期 午前 問2: 経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン（Ver 1.1）”が，自社のセキュリティ対策に加えて，実施状況を確認すべきとしている対策はど

問題本文

経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン（Ver 1.1）”が，自社のセキュリティ対策に加えて，実施状況を確認すべきとしている対策はどれか。

選択肢

• ア.自社が提供する商品及びサービスの個人利用者が行うセキュリティ対策
• イ.自社に出資している株主が行うセキュリティ対策
• ウ.自社のサプライチェーンのビジネスパートナが行うセキュリティ対策
• エ.自社の事業所近隣の地域社会が行うセキュリティ対策

正解

ウ. 自社のサプライチェーンのビジネスパートナが行うセキュリティ対策

解説

本問はサイバーセキュリティ経営ガイドラインが求めるサプライチェーン全体でのセキュリティ確保を問う。同ガイドラインは、自社だけでなく系列企業や委託先などサプライチェーンを構成するビジネスパートナのセキュリティ対策の実施状況も確認・徹底させることを経営者の重要項目として挙げている。正解はウで、ビジネスパートナを経由した攻撃や情報漏えいを防ぐため、取引先を含めた対策確認が必要とされる。

選択肢ごとの解説

• ア.誤り。個人利用者のセキュリティ対策まで企業が確認する責務は同ガイドラインの対象範囲ではない。
• イ.誤り。出資元である株主の対策は自社のサプライチェーンに含まれず、確認すべき対象として挙げられていない。
• ウ.正しい。サプライチェーンを構成するビジネスパートナや委託先の対策状況の確認・監査は、同ガイドラインが明示する重要な指示事項である。
• エ.誤り。事業所近隣の地域社会は取引関係になく、セキュリティ対策の確認対象として挙げられていない。