サイバーセキュリティ経営ガイドライン
出典: 平成29年度 春期 応用情報技術者試験 午前 問39 (IPA)
経済産業省と IPA が策定した“サイバーセキュリティ経営ガイドライン（Ver 1.1）”の説明はどれか。
- ア 企業が IT 活用を推進していく中で，サイバー攻撃から企業を守る観点で経営者が認識すべき 3 原則と，情報セキュリティ対策を実施する上での責任者となる担当幹部に，経営者が指示すべき事項をまとめたもの
- イ 経営者が，情報セキュリティについて方針を示し，マネジメントシステムの要求事項を満たすルールを定め，組織が保有する情報を CIA の観点から維持し，継続的に見直すためのプロセス及び管理策を体系的に規定したもの
- ウ 事業体の IT に関する経営者の活動を大きく IT ガバナンス（統制）と IT マネジメント（管理）に分割し，具体的な目標と工程として 37 のプロセスを定義したもの
- エ 世界的規模で生じているサイバーセキュリティ上の脅威に関して，企業の経営者を支援する施策を総合的かつ効果的に推進するための国の責務を定めたもの
正解と解説を見る
正解: ア
- ア: 経営者が認識すべき 3 原則と、担当幹部への指示事項をまとめたものなので正しい答えです。
- イ: 情報セキュリティマネジメントシステムの要求事項を定めた ISO/IEC 27001 (JIS Q 27001) の説明です。
- ウ: IT ガバナンスとマネジメントに分け 37 のプロセスを定義したのは、COBIT 5 です。
- エ: 国の責務を定めたのは、サイバーセキュリティ基本法です。
ポイント
- サイバーセキュリティ経営ガイドライン は、経済産業省と IPA が策定したもので、経営者が認識すべき 3 原則 と、担当幹部 (CISO など) に指示すべき 重要 10 項目 をまとめています。
- ISMS の要求事項は ISO/IEC 27001、37 のプロセスをもつのは COBIT、国の責務を定めたのはサイバーセキュリティ基本法です。