令和3年度春期 ITサービスマネージャ 午前Ⅰ 問13

組織視点で全体像を確かめる

この問題では、個別の対策名や細かな手順を先に覚えるのではなく、組織がどの範囲を対象に、どのような目的で取り組みを整理しているかという全体のつながりに注目して考えます。

この問題で問われていること

選択肢を読むときは、示されている内容が一担当者の作業だけを述べているのか、それとも組織全体の判断や継続的な管理という視点と結び付いているのかを一つの軸で確認してください。

視点

概念を確認するときは、個別の作業や技術だけに注目せず、組織としての責任、判断、継続的な見直しがどのような関係で整理されているかを捉えます。

確認ポイント

• 対象となる範囲が組織全体の視点で整理されているか
• 説明の目的と手段が混同されずに区別されているか
• 一時的な対応ではなく継続的な管理の視点があるか

正解

ア

解説

サイバーセキュリティ経営ガイドライン（Ver2.0）は、企業の経営者がサイバー攻撃から自社を守るために認識すべき3原則と、責任者に指示すべき重要10項目をまとめたものです。

理由

このガイドラインは、IT活用を進める企業の経営者を対象に、サイバーセキュリティ対策を経営課題として捉えるための3原則と、担当幹部に指示すべき重要10項目を示しています。したがって、企業経営者の認識と指示に焦点を置く説明が適切です。

比較

他の選択肢は、情報セキュリティマネジメントシステムの要求事項、ITガバナンスとマネジメントのプロセス定義、または国の責務を説明したものであり、このガイドラインの目的や対象とは一致しません。

選択肢ア（正解）

これは正解だよ。サイバーセキュリティ経営ガイドライン（Ver2.0）は、企業がITを活用する際に経営者が認識すべき3原則と、対策の責任者となる担当幹部へ経営者が指示すべき重要10項目を整理したものです。

選択肢イ

これは不正解だよ。この説明は、情報資産を機密性・完全性・可用性の観点で管理し、要求事項や管理策を体系化する情報セキュリティマネジメントシステムに近い内容です。経営者向けガイドラインの説明ではありません。

選択肢ウ

これは不正解だよ。ITガバナンスとITマネジメントに分け、具体的な目標や工程として40のプロセスを定義する説明は、IT管理・統制の枠組みに関するものです。サイバーセキュリティ経営ガイドラインの構成とは異なります。

選択肢エ

これは不正解だよ。世界的なサイバー脅威に対して企業経営者を支援する国の責務を定める説明は、行政の役割や政策に関する内容です。企業経営者が実施すべき認識事項と指示事項を整理した文書ではありません。

学習のポイント

企業経営者向けの指針と、情報セキュリティ規格や行政制度を区別する。