問79
頻出度★★★
企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において，経営者に求められる役割として，最も適切なものはどれか。
令和8年度 ITパスポート試験 問79
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 79
不正解ア
部門ごとの方針策定と実行を「全て」IT 部門の担当者に任せてしまうと、経営者が関与せず全社的なリスク統制ができない。セキュリティは IT 部門だけの問題ではなく経営課題であり、経営者が方針や資源配分に責任を持つ必要があるため不適切。
不正解イ
CISO（最高情報セキュリティ責任者）の任命自体は有効だが、実行や判断を「全て」任せて経営者が手を引くのは誤り。ガイドラインでは経営者が最終的な責任を負い、自らリーダーシップを発揮することを求めており、任命して丸投げする姿勢は不適切。
- ウ
正解 正解はウ。サイバーセキュリティ経営ガイドラインでは、サイバーセキュリティ対策を経営課題と位置づけ、経営者自らがリーダーシップを発揮することを求めている。具体的には、実施方針の検討、予算や人材といった経営資源の割当て、実施状況の確認、問題の把握と対応までを経営者が主体的に担う。ウはこの「経営者が当事者として関与し続ける」姿勢を正しく表しており最も適切である。
不正解エ
外部コンサルタントの助言を受けるのはよいが、リスク分析や対策推進の「権限と責任」まで外部に委譲してしまうのは誤り。自社のリスクへの責任は経営者が負うべきものであり、外部に丸投げできる性質のものではないため不適切。
ここがポイント
- サイバーセキュリティ経営ガイドラインの基本姿勢: セキュリティ対策は IT 部門任せではなく経営課題であり、経営者自らがリーダーシップを発揮する。
- 経営者の役割は、実施方針の検討・予算や人材の割当て・実施状況の確認・問題への対応であり、責任を他者へ「丸投げ・委譲」してはならない。
用語