情報セキュリティマネジメント 平成29年度 秋期 午前 問1

✓ これが正解ウ サイバーセキュリティ人材を確保するために，適切な処遇の維持，改善や適切な予算の確保を指示する。

解説

人材確保のための処遇と予算の確保を指示するのが適切です。

設問が引くのは、経済産業省とIPAが策定したサイバーセキュリティ経営ガイドライン（Ver 1.1）で、経営者が自ら判断して対策を進めるための考え方をまとめたものです。対策を担うのは結局は人であり、人を確保して働き続けてもらうには、処遇と予算という経営者にしか動かせない資源が必要です。サイバーセキュリティ人材を確保するために、適切な処遇の維持や改善、適切な予算の確保を指示することは、まさに経営者が出すべき指示です。残りの三つは、責任者に見合った権限を与えない、攻撃を受けた情報を外に出させない、取引先の対策状況を確かめる道をふさぐ、という具合に、いずれも自社の守りを弱める向きの指示になっています。なお、出題当時のガイドラインはVer 1.1です。その後の改訂で、2023年にVer 3.0が公表されています。

ほかの選択肢の解説

• ア 緊急時における最高情報セキュリティ責任者（CISO）の独断専行を防ぐために，経営者レベルの権限をもたない者をCISOに任命する。：緊急時の独断専行を防ぐという理由で、経営者レベルの権限をもたない者を最高情報セキュリティ責任者に据えると、いざというときに必要な判断も資源の手当てもできません。責任には見合った権限が必要です。
• イ サイバー攻撃が模倣されることを防ぐために，自社に対して行われた攻撃についての情報を外部に一切提供しないよう命じる。：自社が受けた攻撃について外部へ一切情報を出さないよう命じると、同じ手口の被害を防ぐための共有ができず、他社や関係機関から届く情報も得にくくなります。閉じることは守りを固める道になりません。
• エ ビジネスパートナとの契約に当たり，ビジネスパートナに対して自社が監査を実施することやビジネスパートナのサイバーセキュリティ対策状況を自社が把握することを禁止する。：取引先との契約で、自社による監査や取引先の対策状況の把握を禁じてしまうと、委託した先を経由した被害の芽に気付けなくなります。つながり全体で守るという考え方とは逆を向いた指示です。