問25
頻出度★★★
経営戦略上，IT の利活用が不可欠な企業の経営者を対象として，サイバー攻撃から企業を守る観点で経営者が認識すべき原則や取り組むべき項目を記載したものはどれか。
令和元年度 秋期 ITパスポート試験 問25
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 25
不正解ア
「IT 基本法（高度情報通信ネットワーク社会形成基本法）」は、高度情報通信ネットワーク社会の形成に関する国の施策の基本方針を定めた法律。サイバー攻撃対策や経営者向けの取り組み項目を記載したものではないため誤り。
不正解イ
「IT サービス継続ガイドライン」は、災害や障害時に IT サービスを継続・復旧させるための事業継続（BCP/IT-BCP）の観点をまとめたもの。サイバー攻撃から守るための経営者向け原則を主眼にしたものではないため誤り。
不正解ウ
「サイバーセキュリティ基本法」は、日本のサイバーセキュリティ施策の基本理念・国や地方公共団体等の責務・戦略本部の設置などを定めた法律。個別企業の経営者に向けて『認識すべき原則・取り組むべき項目』を実務的に示したガイドラインではないため誤り。
- エ
正解 正解は エ「サイバーセキュリティ経営ガイドライン」。これは経済産業省と IPA（情報処理推進機構）が策定した文書で、IT の利活用が経営戦略上不可欠な企業の「経営者」を対象とする。サイバー攻撃から企業を守る観点で、経営者が認識すべき『3つの原則』と、経営者が担当幹部（CISO 等）に指示すべき『重要10項目』を具体的に記載している。設問の「経営者を対象」「サイバー攻撃から守る」「認識すべき原則・取り組むべき項目」という要件すべてに合致するため、エ が正解。
ここがポイント
- サイバーセキュリティ経営ガイドライン（経済産業省・IPA）は、経営者向けに「認識すべき3原則」と「重要10項目」を示した文書である。
- 「基本法」は国の施策の基本理念・枠組みを定める法律であり、経営者が実務で取り組む項目を記載した『ガイドライン』とは役割が異なる点を区別する。
用語