平成29年度春期 情報処理安全確保支援士 午前Ⅰ 問14

午前I 問14：セキュリティは“IT係だけの仕事”じゃなく経営のテーマだよ

この指針は、セキュリティ対策を「パソコンに詳しい人たちに任せておけばOK」という話にせず、会社全体のリスク管理として経営層がちゃんと考えよう、というものだよ。たとえるなら、お店の防犯をアルバイト任せにするのではなく、店長や経営者が方針を決めるイメージだね。

この問題で問われていること

ここでは、現場の技術者向けに細かい設定方法を示す標準ではなく、経営層に向けて“セキュリティを経営課題として扱おう”と促すガイドラインだと見抜けるかがポイントだよ。

Cybersecurity Management Guidelines

the Cybersecurity Management Guidelines define executive responsibilities and key instructions for senior management

for executives\nmanagement responsibility\nkey directives

確認ポイント

• 技術設定手順書ではありません。
• 経営者の責任と関与に注目する。
• 経営層向けの記述を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これが正解だよ。サイバーセキュリティ経営ガイドラインは、社長や経営者に向けて『会社をサイバー攻撃から守るには、経営者が何を意識し、担当幹部に何を指示すべきか』をまとめたものなんだ。家でいうと、防犯カメラの設置や合鍵の管理を現場任せにせず、家主が方針を決めるためのチェックリストみたいなものだよ。

選択肢イ

これは不正解だよ。これはISMS、つまり情報セキュリティマネジメントシステムの説明に近いんだ。情報の秘密を守る、壊さない、必要なとき使えるようにする、というCIAの観点でルールと改善の仕組みを作る話だよ。たとえると、家全体の防犯ルールを作って定期的に見直す仕組みであって、経営者向けのサイバー攻撃対策ガイドそのものではないんだ。

選択肢ウ

これは不正解だよ。これはCOBITの説明に近いんだ。COBITはITを会社としてどう統制し、どう管理するかを整理した枠組みだよ。たとえると、防犯だけでなく、家計簿、修理、設備管理まで含めた『家の運営マニュアル』みたいな広い話で、サイバーセキュリティ経営ガイドラインとは焦点が違うんだ。

選択肢エ

これは不正解だよ。内容はサイバーセキュリティ基本法の説明に近いんだ。たとえると、会社ごとの防犯マニュアルではなく、『国全体で泥棒対策を進めるため、国は何をするべきか』を決めた大きな法律の話だよ。問題で問われているガイドラインとは対象が違うんだ。