サイバーセキュリティ経営で確認すべき相手は
基本情報技術者試験 平成29年度春期 午前 問39 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
経済産業省とIPAが策定した"サイバーセキュリティ経営ガイドライン(Ver1.1)"が，自社のセキュリティ対策に加えて，実施状況を確認すべきとしている対策はどれか。
- ア
自社が提供する商品及びサービスの個人利用者が行うセキュリティ対策
- イ
自社に出資している株主が行うセキュリティ対策
- ウ
自社のサプライチェーンのビジネスパートナが行うセキュリティ対策
- エ
自社の事業所近隣の地域社会が行うセキュリティ対策
会話形式の解説
講師自社の外にいる相手のうち、どのような関係先の対策状況を確認するのかに注目しましょう。
受験者商品を使う個人も自社と関係があります。利用者の対策を確認するのでしょうか。
講師ここで問われるのは、サプライチェーンに属する関係先です。個人利用者自身の対策は、その対象とは異なります。
受験者サプライチェーンは、事業を通じてつながる取引上の関係ですね。
講師そのとおりです。ビジネスパートナで被害が起きると、自社の情報や業務にも影響し得ます。そのため、その対策の実施状況も確認します。
受験者株主も自社に関係しますが、出資しているだけでは取引上の関係とはいえないのですね。
講師はい。出資という関係だけで、サプライチェーン上の確認対象とは判断できません。
受験者近隣の地域社会も、事業所に近いというだけでは対象になりませんね。
講師そのとおりです。地理的な近さと、事業を通じたつながりは分けて考えます。
受験者確認すべき相手は、自社のサプライチェーンのビジネスパートナです。
講師正解です。選択肢では、相手が自社とどうつながっているかを確かめると判断できます。
まとめ
ガイドラインが自社の対策に加えて実施状況の確認を求める相手は、サプライチェーンのビジネスパートナです。関係先の被害は自社の情報や業務にも影響し得ます。個人利用者、株主、近隣の地域社会については、利用・出資・地理的な近さだけでサプライチェーン上の確認対象とは判断できません。
解答・解説
正解はウです
この問題のテーマ
自社のセキュリティ対策に加え、誰の対策状況を確認すべきかを問う問題です。
解き方の考え方
自社の情報や業務に影響を及ぼし得る関係先を考えます。ガイドラインが対象に含めるのはサプライチェーンの関係先なので、選択肢ではビジネスパートナを選びます。
選択肢ごとの解説
- ×ア 自社が提供する商品及びサービスの個人利用者が行うセキュリティ対策商品の個人利用者が行う対策を挙げています。利用者自身の対策は、自社のサプライチェーンに属する関係先の対策状況を確認するという設問の対象とは異なります。
- ×イ 自社に出資している株主が行うセキュリティ対策株主は自社への出資者です。出資しているという関係だけでは、サプライチェーン上の対策状況を確認すべき相手とはいえません。
- ○ウ 自社のサプライチェーンのビジネスパートナが行うセキュリティ対策サプライチェーンのビジネスパートナが行う対策です。関係先で被害が起きると自社の情報や業務にも影響し得るため、自社の対策だけでなく、その実施状況も確認します。
- ×エ 自社の事業所近隣の地域社会が行うセキュリティ対策事業所近隣の地域社会が行う対策を挙げています。地理的に近いというだけでは、自社のサプライチェーンの関係先には当たりません。
POINT
- 確認する範囲を考えるときは、自社の外にある関係先にも目を向けます。
- サプライチェーンとは、事業を通じてつながる取引上の関係を指します。
- 相手との関係が出資や立地だけの場合は、設問が問う範囲と一致するかを確かめます。