平成30年度秋期 情報処理安全確保支援士 午前Ⅱ 問6

午前II 問06：経営者向けのセキュリティ指針を見分けよう

サイバーセキュリティ経営ガイドライン Ver2.0 は、会社の経営者が「セキュリティを人任せにせず、経営課題として考えようね」と示したガイドラインだよ。経営者が意識すべき3つの原則や、CISOなどの担当幹部に指示すべき大事なことを整理しているんだ。たとえるなら、細かい作業手順書というより、社長がセキュリティ対策の方向性を決めるための道しるべだね。ISMSの規格そのものや、COBITのような管理フレームワーク、法律そのものではない点に注意しよう。

この問題で問われていること

この問題では、「これは誰向けの何の指針なのか」を見分ける力が問われているよ。サイバーセキュリティ経営ガイドラインは経営者向けの指針であって、マネジメント規格や法令、ITガバナンスのフレームワークとは役割が違う、というところを押さえよう。

経営者向け指針

現場向け詳細手順ではなく、経営層が何を認識し、誰に何を指示するかを整理したガイドラインです。

経営者が認識すべき原則\n+ 幹部へ指示すべき事項

確認ポイント

• ISMS の要求事項を定める規格ではありません。
• COBIT のプロセス定義とも違う。
• 経営者の原則と指示事項をまとめた説明を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これはサイバーセキュリティ経営ガイドラインの説明だよ。家でいうと、泥棒対策を家族任せにせず、家主が『鍵を強くする』『窓の確認係を決める』と指示するようなもの。経営者が守るべき3原則と、担当幹部に指示すべき事項をまとめているので、この説明が正解になるよ。

選択肢イ

これはISMS、つまり情報セキュリティマネジメントシステムの説明だよ。金庫の中身を洗い出して、鍵・見張り・点検ルールを決め、定期的に見直す仕組みのこと。経営者向けのサイバー攻撃対策ガイドラインそのものではないので間違いだよ。

選択肢ウ

これはCOBITの説明だよ。会社のIT全体をどう統制・管理するかという“会社のIT運営マニュアル”みたいな話で、サイバー攻撃から企業を守るために経営者が何を意識し、担当幹部へ何を指示するかをまとめたものではないので間違いだよ。

選択肢エ

これはサイバーセキュリティ基本法の説明に近いよ。国がサイバーセキュリティ施策を進めるための基本的な責務を定めた“国のルールブック”の話だね。企業の経営者が実務で何を指示するかをまとめたガイドラインではないので間違いだよ。