平成29年度春期 システム監査技術者 午前Ⅰ 問14

経営視点で整理する確認軸

この分野の設問では、個別の対策名や文言だけで判断せず、組織として何を守り、誰が責任を持ち、継続的に見直す仕組みになっているかという観点で内容を整理して考えます。

この問題で問われていること

選択肢を読むときは、単発の技術対応として書かれているのか、経営層を含む組織全体の判断・責任・改善につながる説明なのかという一つの視点に絞って確認し、その軸を保ちます。

視点

内容を整理する際は、施策そのものの細部よりも、経営上の判断と現場の取り組みがどのような関係で結び付けられているかに注目します。説明の対象、責任の所在、継続的な確認の有無を同じ視点から読み比べると、論点を落ち着いて整理できます。

確認ポイント

• 組織全体の判断と現場の対応がどう結び付くかを確認する
• 責任を担う主体と、説明の対象が一致しているかを見る
• 一時的な対応か、継続的に見直す考え方かを確認する

正解

ア

解説

サイバーセキュリティ経営ガイドライン（Ver1.1）は、企業がITを活用する中で、経営者がサイバー攻撃への備えを進めるために認識すべき原則と、担当幹部へ指示すべき事項を整理したものです。したがって、企業経営者向けの指針を直接説明しているアが適切です。

理由

このガイドラインは、企業の経営者がサイバー攻撃から企業を守るために認識すべき3原則と、情報セキュリティ対策の責任者となる担当幹部に対して経営者が指示すべき事項をまとめたものです。企業経営の立場から対策を促す内容である点が重要です。

比較

イは情報セキュリティマネジメントシステムの要求事項やCIAを踏まえた管理策の体系、ウはITガバナンスとITマネジメントを分けて37プロセスを定義する枠組み、エは国の責務を定める説明です。いずれもこのガイドラインの説明とは異なります。

選択肢ア（正解）

これは正解だよ。この選択肢は、企業がITを活用する状況を前提に、サイバー攻撃から企業を守るため経営者が認識すべき3原則と、情報セキュリティ対策の責任者となる担当幹部へ経営者が指示すべき事項をまとめたものだと説明している。ガイドラインの対象と目的に一致する。

選択肢イ

これは不正解だよ。この説明は、経営者が方針を示し、要求事項に基づくルールや、情報の機密性・完全性・可用性を維持するプロセスと管理策を体系化する内容である。サイバーセキュリティ経営ガイドラインではなく、情報セキュリティマネジメントの規格や枠組みに近い説明である。

選択肢ウ

これは不正解だよ。この選択肢は、ITに関する経営者の活動をITガバナンスとITマネジメントに分け、具体的な目標や工程として37のプロセスを定義したものだと述べている。これはIT統制・管理のプロセスモデルに関する説明であり、経営者向けのサイバーセキュリティ指針とは異なる。

選択肢エ

これは不正解だよ。この選択肢は、世界的なサイバーセキュリティ上の脅威に対して企業経営者を支援するため、国が施策を推進する責務を定めたものだと説明している。対象が企業の経営者への指針ではなく国の責務となっているため、設問のガイドラインには該当しない。

学習のポイント

経営者向けのサイバーセキュリティ指針と、管理規格・IT統制・国の施策を区別する。