平成29年度 春期 午前 問39

✓ これが正解ア企業が IT 活用を推進していく中で，サイバー攻撃から企業を守る観点で経営者が認識すべき 3 原則と，情報セキュリティ対策を実施する上での責任者となる担当幹部に，経営者が指示すべき事項をまとめたもの

解説

経営者向けの原則と指示事項をまとめた文書です。

設問は、経済産業省と IPA が策定したサイバーセキュリティ経営ガイドラインの説明を選ばせています。四つの選択肢はどれも経営者を主語に置いているので、そこでは切れません。名前の読み方から入ります。経営という語が付いているとおり、これは現場の手順書ではなく、経営者に向けて書かれた文書です。したがって中身は、経営者が何を認識し、誰に何を指示するかになります。実際にこの文書は二本立てです。一本目は経営者が認識すべき原則で、経営者自身が先頭に立って対策を進めること、自社だけでなく系列企業や取引先まで含めて考えること、そして平時から関係者と情報を共有しておくこと、の三つが挙げられています。二本目は、情報セキュリティ対策を実施する責任者となる担当幹部に対して経営者が指示すべき事項で、体制づくり、危険の把握、計画の策定、委託先の管理、事故が起きたときの対応体制などが並びます。この二本立てをそのまま言い当てているものが答えになります。

ほかの選択肢はなぜ違うのか

• イ経営者が，情報セキュリティについて方針を…：経営者が方針を示し、要求事項を満たす規則を定め、機密性と完全性と可用性の観点から情報を維持し、継続的に見直す仕組みを体系的に規定したものという説明です。これは ISMS の中身で、認証を得るための要求事項を述べたものにあたります。
• ウ事業体の IT に関する経営者の活動を大…：事業体の IT に関する経営者の活動を統制と管理に大きく分け、具体的な目標と工程として 37 のプロセスを定義したものという説明です。これは COBIT の中身で、IT 全般の統治の枠組みであり、サイバー攻撃に絞った文書ではありません。
• エ世界的規模で生じているサイバーセキュリテ…：世界的規模で生じている脅威に関し、企業の経営者を支援する施策を推進するための国の責務を定めたものという説明です。国が主語に置かれるのは法律であり、これはサイバーセキュリティ基本法にあたります。