令和元年度 秋期 （特別措置試験） 問25

✓ これが正解エサイバーセキュリティ経営ガイドライン

解説

経営者が認識すべき原則と、取り組む項目を示した指針です。

サイバーセキュリティ経営ガイドラインは、情報技術の活用が欠かせない企業の経営者に向けて、サイバー攻撃から会社を守るために認識しておくべき原則と、取り組むべき項目を示した文書です。守りを技術の担当者だけの仕事にせず、経営の課題として扱うよう促している点が特徴になります。任せきりにせず自ら方針を示すこと、取引先を含めて目を配ることなどが、原則として挙げられています。法律ではなく指針なので、守らせる力ではなく、示して促す形をとっています。守る仕組みを整えるには、費用も人も必要です。現場の判断だけでは動かせないので、経営者が方針を示すところから始める必要があります。信用を失うところまでが経営の問題だという捉え方になります。よって最も適切なのはサイバーセキュリティ経営ガイドラインです。

ほかの選択肢はなぜ違うのか

• アIT基本法：これは、高度な情報通信ネットワーク社会を作るための基本の方針を定めた法律です。国全体の方向づけを行うものであり、経営者が個々に取り組むべき項目を並べた文書ではありません。行政手続を情報で済ませる方針も含みます。出題当時は有効な法律でした。その後、2021年にデジタル社会形成基本法が施行され、IT基本法は廃止されています。
• イITサービス継続ガイドライン：ITサービス継続ガイドラインは、障害や災害が起きても情報サービスを続けられるようにするための指針です。備えを扱う点は近いのですが、経営者が認識すべき原則を示すという役目とは狙いが違います。代替の拠点や復旧の目標時間を決める話です。
• ウサイバーセキュリティ基本法：サイバーセキュリティ基本法は、国や事業者の責務を定め、施策の基本を示した法律です。仕組みの土台を法律として置くものであり、経営者が取り組む項目を具体的に並べたものではありません。これに基づいて国の戦略本部が置かれています。