ITサービスマネージャ試験 令和4年度 春期 午前II 問17

【正解】イ

サイバーセキュリティ経営ガイドラインは、サイバー攻撃への対応を情報システム部門だけの技術的課題ではなく、事業継続や企業価値に関係する経営課題として捉えたものです。経営者が認識すべき「サイバーセキュリティ経営の3原則」と、経営者が担当幹部に指示し、リーダーシップを発揮して実施すべき「重要10項目」が示されています。したがって、イが適切です。

アの「対策を投資ではなくコストとして捉える」は誤りです。ガイドラインでは、サイバーセキュリティ対策を単なる費用ではなく、企業の成長や事業継続のために必要な投資として捉えることが重視されています。安価な対策だけを選ぶための手引ではありません。

ウの「規模やビジネスモデルによらず、同じ対策を全て適用する」は誤りです。具体的な対策は、各企業の事業内容、保有情報、想定される脅威、経営資源などを踏まえ、リスクに応じて決定します。一律の具体策を規定する制度ではありません。

エの「製造業の小規模事業者を対象とした事後対応だけの手引」は誤りです。対象をそのように限定しておらず、平常時の体制整備、予防、検知、復旧、サプライチェーン対策などを広く扱っています。

【ポイント】 3原則では、経営者のリーダーシップ、サプライチェーン全体の対策、関係者との適切なコミュニケーションを重視します。 「経営課題」「3原則」「重要10項目」を関連付けて覚えます。