分類テクノロジ系 » セキュリティ » 情報セキュリティ管理新しい試験24-7 情報セキュリティの制度年度令和8年度の100問の一覧
企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において，経営者に求められる役割として，最も適切なものはどれか。
正解と解説
正解：ウ
ア× 対応方針の策定と実行を担当者に全て任せると、経営者がリーダーシップを発揮していません。方針は経営者が関わって決めるものです。
イ× CISOを任命して指示を出すのは適切ですが、実行や判断を全て任せると、経営者が自ら対策を進めることになりません。
ウ○ 正解 方針の検討、予算や人材の割当て、実施状況の確認と問題への対応を通じて、経営者が自らリーダーシップを発揮しています。
エ× 外部のコンサルタントに権限と責任ごと委ねると、経営者が責任を手放すことになります。助言を受けることと、責任を渡すことは別です。
解説
経済産業省とIPAのサイバーセキュリティ経営ガイドラインは、経営者が認識すべき3原則の1つ目に、サイバーセキュリティリスクを自社のリスクマネジメントの重要課題と認識し、自らのリーダーシップのもとで対策を進めることを挙げています。そのうえで経営者は、対策の責任者（CISO等）に指示して重要10項目を確実に実施させます。その中には、対応方針の策定や、予算・人材といった資源の確保が含まれます。さらにガイドライン（Ver3.0）は、これは単に指示すればよいのではなく、経営者が自らの役割として「実施方針の検討、予算や人材の割当、実施状況の確認や問題の把握と対応等を通じてリーダーシップを発揮することが求められる」と書いています。
4つの記述の違いは、経営者が自分で関わり続けているかどうかです。CISOや担当者、外部の専門家に頼ることはあっても、全てを任せきりにはしない。方針の検討、予算や人材の割当て、実施状況の確認を通じて自ら率いる記述だけが、経営者の役割に合っています。
教科書 24-7この問題の知識
事故に備える社内の組織（情報セキュリティ委員会・CSIRT・SOC）、IPAへの届出とJ-CRAT、ウイルス・不正アクセスの対策基準、サイバーセキュリティ経営ガイドライン、SECURITY ACTION・ISMAP・PCI DSSまでを、「だれが・何のために使う制度か」で整理します。
この節で扱うこと：情報セキュリティに関する組織・機関・情報セキュリティに関する基準
Udemy の ITパスポート講座を、受講者数・★評価・口コミで比べたページです（広告を含みます）。
過去問教科書の一覧（現行の試験の順）教科書の一覧（新しい試験の順）
出典：IPA「ITパスポート試験 公開問題」令和8年度 問79。問題文と選択肢は改変せずに引用しています（表・図は文字に書き起こしたもの）。正解は IPA 公表の解答例によります。