令和4年度春期 情報処理安全確保支援士 午前Ⅱ 問9

午前II 問09

サイバーセキュリティ経営ガイドライン Ver.2.0 は、会社のトップである経営者が「サイバー攻撃はIT部門だけの問題じゃなく、経営リスクなんだ」と理解するための道しるべだよ。たとえば、建物の防災対策を現場任せにせず社長も方針を決めるように、サイバーセキュリティでも経営者が知っておくべき原則や、リーダーシップを取って進めるべきことを整理しているんだ。

この問題で問われていること

この問題では、サイバーセキュリティ経営ガイドライン Ver.2.0 が、全企業でそのまま使える細かい対策リストや、事故が起きた後の対応マニュアルではなく、経営者向けの指針だと分かっているかを見ているよ。

経営者向けガイドライン

現場向け詳細手順ではなく、経営レベルで何を認識し、どのように統率するかを示します。

経営者が認識すべき原則\n+ リーダーシップで取り組む項目

確認ポイント

• コスト最小化だけを重視する文書ではありません。
• 全ての企業に一律の詳細対策を定めるものでもない。
• 経営者向け原則と取組項目を選ぶ。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。ガイドラインでは、サイバーセキュリティ対策を単なるコストではなく、事業を守って成長させるための投資として考えることが大切だとしているんだ。店のシャッターや防犯カメラを『もったいない出費』だけで見るのではなく、お店を続けるための必要な備えとして見るイメージだよ。

選択肢イ（正解）

これは正解だよ。サイバーセキュリティ経営ガイドラインは、経営者が知っておくべき基本的な考え方と、リーダーとして取り組むべき重要な項目をまとめたものなんだ。会社の防犯を情報システム担当者だけに丸投げせず、社長や経営層が『うちの店をどう守るか』を決めて動くための道しるべだよ。

選択肢ウ

これは不正解だよ。ガイドラインは、全ての会社に同じ対策をそのまま当てはめろ、という決まり集ではないんだ。小さな個人商店と大きな百貨店では必要な鍵や警備体制が違うように、会社の規模や事業内容、リスクに合わせて対策を考えることが大事だよ。

選択肢エ

これは不正解だよ。サイバーセキュリティ経営ガイドラインは、攻撃された後の手順書だけをまとめたものではないんだ。泥棒に入られた後の片付けメモというより、そもそも家に鍵を付ける、家族で防犯意識を持つ、近所とも連携する、みたいに経営者が普段から考えるべき守り方を示したものだよ。