令和4年度春期 ITサービスマネージャ 午前Ⅱ 問17

ガイドラインの位置付けを考える視点

この種の設問では、文書が何を目的に置かれ、誰の判断や活動とどのように関係するかを、問題文の表現に沿って整理することが重要です。さらに、単なる名称の印象と、文書が担う役割を分けて読み取りましょう。

この問題で問われていること

確認する観点を、文書の役割と適用される判断の範囲との関係に絞り、個々の対策内容ではなく、設問が示す位置付けの説明に注目します。文中の主体と目的の対応も確認しましょう。

視点

文書の位置付けを考えるときは、名称や個別の記述だけで判断せず、組織の意思決定、実務上の運用、関係者への説明という複数の層のうち、どの関係を述べているかを丁寧に読み取ります。

確認ポイント

• 文書が関係する主体を確認する
• 示されている目的と役割を整理する
• 位置付けの説明対象を読み分ける

正解

イ

解説

正しいのはイです。このガイドラインは、経営者がサイバーセキュリティを経営課題として認識し、必要な原則を踏まえてリーダーシップを発揮するための考え方や取組項目を整理したものです。

理由

サイバーセキュリティ経営ガイドラインは、経営者が認識すべき原則と、経営者のリーダーシップによって取り組むべき項目をまとめた文書です。単なる費用削減策や技術対策一覧ではありません。

比較

アは投資ではなくコストと捉える点が不適切です。ウは全ての企業に一律の対策を定めたものではありません。エは製造業の小規模事業者に限定した事後対応の手引きではありません。

選択肢ア

これは不正解だよ。サイバーセキュリティ対策は、経営上のリスクを低減するための投資として捉えることが重要であり、単にコストとして扱うことを重視する文書ではありません。コストパフォーマンスだけを基準に対策を整理したものでもありません。

選択肢イ（正解）

これは正解だよ。サイバーセキュリティ経営ガイドラインは、経営者が認識すべきサイバーセキュリティ上の原則と、経営者がリーダーシップを発揮して実施すべき取組項目を取りまとめたものです。設問の説明と文書の目的が一致しています。

選択肢ウ

これは不正解だよ。ガイドラインは、事業の規模やビジネスモデルを考慮せず、全ての経営者に同一の対策を一律適用させるものではありません。各企業の事業特性やリスクに応じた対応を考えることが前提です。

選択肢エ

これは不正解だよ。このガイドラインは、製造業のサプライチェーンを構成する小規模事業者だけを対象に、サイバー攻撃後の事後対応をまとめたものではありません。対象は経営者全般で、内容も事後対応に限定されません。

学習のポイント

経営者向けの基本方針と、個別の技術対策や事故対応手順を区別して覚えましょう。