令和4年度 春期 午前Ⅱ 問17

✓ これが正解イ経営者が認識すべきサイバーセキュリティに関する原則と，経営者がリーダシップを発揮して取り組むべき項目を取りまとめたものである。

解説

経営者が認識すべき原則と、取り組むべき項目をまとめたものです。

サイバーセキュリティ経営ガイドラインは、サイバー攻撃から企業を守る取組みを、経営者が主導して進めるための指針です。見分ける軸は、誰に向けた何の文書かです。Ver 2.0 は、経営者が認識すべき3原則と、経営者が担当幹部に指示して進めるべき重要10項目で構成されており、原則と取り組むべき項目を取りまとめたものという説明と合っています。対策を投資ではなくコストとみる立場、全ての企業に一律の対策を定める性格、小規模事業者の事後対応だけに絞った内容は、いずれもこの指針の趣旨から外れます。経営者が主役の指針、と押さえておくと見分けやすくなります。出題当時の Ver 2.0 は、2023年に Ver 3.0 へ改訂されています。

ほかの選択肢はなぜ違うのか

• ア経営者が，実施するサイバーセキュリティ対…：このガイドラインは、サイバーセキュリティ対策を将来の事業に必要な投資として捉えることを求めています。投資ではなくコストとして捉えることを重視するという説明は、指針の立場と逆になっています。
• ウ事業の規模やビジネスモデルによらず，全て…：ガイドラインは、経営者が自社の状況に応じて取り組むための考え方と項目を示すもので、事業の規模やビジネスモデルを問わず全社に同じ対策を課す基準ではありません。一律に適用すべき対策を定めたという説明は性格が違います。
• エ製造業のサプライチェーンを構成する小規模…：対象を製造業の小規模事業者に絞ったり、攻撃を受けた後の事後対応だけをまとめたりした文書ではありません。経営者が平時から取り組むべき事柄も含めて示しており、対象と範囲が狭すぎる説明です。