サイバーセキュリティ対策で経営者に求められる役割を考える
ITパスポート試験 令和8年度 問79 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において，経営者に求められる役割として，最も適切なものはどれか。
- ア
IT部門のセキュリティ担当者に，部門ごとのサイバーセキュリティリスク対応方針の策定と実行を全て任せる。
- イ
サイバーセキュリティ対策を実施する上での責任者となるCISOを任命し，実行や判断を全て任せる。
- ウ
実施方針の検討，予算や人材の割当て，実施状況の確認や問題の把握と対応を通じて自らリーダーシップを発揮する。
- エ
専門家である外部の経営コンサルタントに，自社の組織や事業におけるリスクの分析と対策の推進に関する権限と責任を委譲する。
会話形式の解説
講師今回は、サイバーセキュリティリスク対策を進めるときに経営者がどんな役割を担うべきかを問う問題です。サイバーセキュリティを、IT部門だけの技術課題と見るか、経営リスクと見るかがポイントになります。
受験者選択肢を見ると、CISOを任命する案や外部のコンサルタントに任せる案もあって、どれも対策としては良さそうに見えました。専門家に任せたほうが確実ではないかとも思います。
講師実務を担当者や専門家に任せること自体は問題ありません。ただ、サイバーセキュリティリスクは経営者が責任を負う経営リスクです。経済産業省とIPAの「サイバーセキュリティ経営ガイドライン」でも、経営者がリーダーシップをとることが求められています。最終的な責任と判断は経営者に残る、という前提で選択肢を見ていきましょう。
受験者IT部門のセキュリティ担当者に、部門ごとの対応方針の策定から実行まで全部任せる選択肢は、経営者が何も関わっていないので違うと思います。
講師そのとおりです。経営者は方針の策定と実行の両面でリーダーシップをとる必要があります。部門ごとのリスク対応は事業上の判断を伴うので、経営層が関わらずに担当者へ丸投げするのは適切ではありません。
受験者迷ったのはCISOの選択肢です。CISOはセキュリティの責任者ですよね。責任者を置いて任せるなら、筋が通っているように思えました。
講師CISOは最高情報セキュリティ責任者のことで、任命すること自体は有効です。ただ、CISOを置いても最終的な責任と判断は経営者にあります。この選択肢は、実行も判断も全て任せるとしている点が誤りです。
受験者外部の経営コンサルタントに権限と責任を委譲する選択肢も、同じ理由で不適切ということでしょうか。
講師はい。外部の専門家の知見を活用することはできますが、リスクマネジメントと対策推進の権限と責任は経営者にあり、外部へ委譲することはできません。外部に全権を委ねると、自社の事情が反映されにくくなり、責任の所在もあいまいになります。
受験者すると正解は、実施方針の検討、予算や人材の割当て、実施状況の確認と問題への対応を通じて、経営者自らがリーダーシップを発揮するという選択肢ですね。経営者は何をどの優先度で行うかを決めて資源を配分し、具体的な実行は専門部門が担う、という分担だと理解しました。
講師その理解で大丈夫です。この問題では、CISOの選択肢と外部コンサルタントの選択肢が、それ自体は有効な施策と全面的な委任を組み合わせた形になっていました。施策が正しいかどうかだけでなく、経営者の関与と責任が残っているかに注目して読むと判断しやすくなります。
まとめ
サイバーセキュリティリスクは、IT部門だけの技術課題ではなく、経営者が責任を負う経営リスクです。経営者の役割は、実施方針の検討、予算や人材の割当て、実施状況の確認と問題への対応を通じて、自らリーダーシップを発揮することです。実務を担当者やCISO、外部の専門家に任せることはできますが、最終的な責任と判断は経営者に残ります。この問題では、CISOの任命や外部専門家の活用といった有効な施策に全面的な委任を組み合わせた選択肢が不適切でした。
解答・解説
正解はウです
この問題のテーマ
サイバーセキュリティリスク対策を進めるうえで、経営者が担うべき役割を問う問題です。サイバーセキュリティリスクを、IT部門だけの技術課題ではなく経営リスクとして捉えられているかが問われています。
解き方の考え方
まず、サイバーセキュリティリスクは経営者が責任を負う経営リスクだという前提を押さえます。実務を担当者や専門家に任せること自体は問題ありませんが、最終的な責任と判断は経営者に残ります。そこで「全て任せる」「権限と責任を委譲する」のように、経営者が関与しなくなる選択肢を外していきます。最後に残った、経営者自らが方針・資源配分・状況確認に関わる選択肢を正解と判断します。
選択肢ごとの解説
- ×ア IT部門のセキュリティ担当者に，部門ごとのサイバーセキュリティリスク対応方針の策定と実行を全て任せる。アは、部門ごとのリスク対応方針の策定から実行までを、IT部門のセキュリティ担当者に全て任せるという内容です。経営者は方針策定と実行の両面でリーダーシップをとる必要があるため、担当者への丸投げは適切ではありません。部門ごとのリスク対応は事業上の判断を伴うので、経営層が関与する必要もあります。
- ×イ サイバーセキュリティ対策を実施する上での責任者となるCISOを任命し，実行や判断を全て任せる。イは、CISOを任命して実行も判断も全て任せるという内容です。責任者としてCISOを任命することは有効ですが、CISOを置いても最終的な責任と判断は経営者にあります。「全て任せる」とした点が誤りです。
- ○ウ 実施方針の検討，予算や人材の割当て，実施状況の確認や問題の把握と対応を通じて自らリーダーシップを発揮する。ウは、実施方針の検討、予算や人材の割当て、実施状況の確認と問題への対応を通じて、経営者自らがリーダーシップを発揮するという内容です。これは経営者に求められる役割にそのまま当てはまります。経営者は何をどの優先度で行うかを決めて資源を配分し、具体的な実行方法は専門部門が担う、という分担が望ましい形です。
- ×エ 専門家である外部の経営コンサルタントに，自社の組織や事業におけるリスクの分析と対策の推進に関する権限と責任を委譲する。エは、外部の経営コンサルタントにリスク分析と対策推進の権限と責任を委譲するという内容です。外部の専門家の知見を活用することはできます。しかし、リスクマネジメントと対策推進の権限と責任は経営者にあり、外部に委譲することはできません。外部に全権を委ねると、自社の事情が反映されにくくなり、責任の所在もあいまいになります。
補足
この分野の問題でよくある引っかけは、CISOの任命や外部専門家の活用といった、それ自体は有効な施策と「全面的な委任」を組み合わせた選択肢です。施策そのものが正しいかどうかではなく、経営者の関与や責任が残っているかどうかに注目して読むと、正解を選びやすくなります。
POINT
- サイバーセキュリティリスクは、経営者が責任を負う経営リスクです。
- 経営者の役割は、実施方針の検討、予算・人材の割当て、実施状況の確認と問題への対応です。
- 実務を担当者やCISO、外部専門家に任せることはできますが、最終責任と判断は経営者に残ります。
- 選択肢に「全て任せる」「権限と責任を委譲する」とあれば、不適切と判断する手がかりになります。