情報セキュリティマネジメント 平成29年度 春期 午前 問2

✓ これが正解ウ 自社のサプライチェーンのビジネスパートナが行うセキュリティ対策

解説

業務でつながるビジネスパートナの対策まで確認します。

設問が引くのは、経済産業省とIPAが策定したサイバーセキュリティ経営ガイドライン（Ver 1.1）で、経営者が自ら判断して対策を進めるための考え方をまとめたものです。自社の中だけを固めても、業務を任せた委託先や、部品やサービスを供給してくれる相手の守りが弱ければ、そこを経由して自社にも被害が及びます。だからこのガイドラインは、自社のセキュリティ対策に加えて、サプライチェーンのビジネスパートナが行っている対策の実施状況まで確認するよう求めています。つながっている相手を含めて全体で守る、という考え方です。残りの三つは、いずれも自社の情報を預けたり業務を担ってもらったりする関係にない相手であり、実施状況を確認すべき対象としては挙がりません。なお、出題当時のガイドラインはVer 1.1です。その後改訂されたVer 3.0でも、サプライチェーン全体の対策と状況把握は重要10項目の指示9として引き継がれています。

ほかの選択肢の解説

• ア 自社が提供する商品及びサービスの個人利用者が行うセキュリティ対策：自社の商品やサービスを使う個人の利用者は、自分の端末や使い方を自分で守る立場にあります。企業が一人ひとりの実施状況を確かめて回る対象として挙げられているものではありません。
• イ 自社に出資している株主が行うセキュリティ対策：出資している株主とのつながりは資本の面のものであり、自社の情報を預かったり業務を担ったりする関係ではありません。株主側の守りの弱さが自社の被害へ直結する経路も想定されていません。
• エ 自社の事業所近隣の地域社会が行うセキュリティ対策：事業所の近くにいるという地理的な近さがあるだけで、情報や業務のやり取りがあるわけではありません。地域社会の取組状況を確かめることが、自社の守りを固めることにはつながりません。