解説

経済産業省とIPAが策定した「サイバーセキュリティ経営ガイドライン（Ver2.0）」は、企業がIT活用を推進する中でサイバー攻撃から企業を守るため、経営者が認識すべき「3原則」と、CISOなどのサイバーセキュリティ対策実施責任者への「重要10項目の指示」をまとめたガイドラインです。3原則：①経営者がリーダーシップを取り対策を推進すること②自社のみならずビジネスパートナーを含むサプライチェーン全体の対策③平時・緊急時を問わず必要な情報を共有すること。重要10項目はリスク管理・資源確保・インシデント対応体制など組織的なセキュリティ対策を指示内容として規定しています。

なぜ他の選択肢は違うのか

選択肢 イ

「マネジメントシステムの要求事項を満たすルールを定め情報資産をCIAの観点から維持管理」はISMS（ISO/IEC 27001）の説明です。サイバーセキュリティ経営ガイドラインは認証規格ではなく、経営者向けの指針・ガイドラインです。

選択肢 ウ

「ITガバナンスとITマネジメントに分割し40のプロセスを定義」はCOBIT（Control Objectives for Information and related Technology）の説明です。COBITはITガバナンスのフレームワークであり、経営者向けのセキュリティガイドラインではありません。

選択肢 エ

「企業経営者を支援するための国の責務を定めた」はサイバーセキュリティ基本法の説明に近いです。同ガイドラインは国の責務ではなく、企業経営者が取るべき行動・指示を規定したものです。

解くときのポイント

サイバーセキュリティ経営ガイドライン＝「3原則＋重要10項目（経営者→担当幹部への指示）」。ISMS（ISO 27001）はCIAの管理策・認証規格、COBIT（40プロセス）はITガバナンス。「経産省・IPA策定・経営者向け」の3点が識別キーワード。