サイバーセキュリティ経営ガイドライン

よみがな: さいばーせきゅりてぃけいえいがいどらいん

英語名称・略称: Cybersecurity Management Guidelines (METI / IPA)

1行要約（本質）

経済産業省とIPAが策定した、サイバー攻撃から企業価値を守るために経営者が認識すべき3原則と指示すべき重要10項目。

3つの重要ポイント

サイバーセキュリティを「IT部門のコスト」ではなく「経営者自らが取り組むべき投資・経営課題」と位置づける。

自社単体だけでなく、サプライチェーン（取引先・委託先・海外子会社）全体へのセキュリティ統制を求める。

ITストラテジストは、CISO（最高情報セキュリティ責任者）と連携し、経営陣にセキュリティ投資を提言する。

構造・プロセスの図解

図サイバーセキュリティ経営ガイドラインの3原則

経営者が認識・行動すべき3大鉄則

原則①：経営責任の自覚

IT部門任せの脱却

セキュリティ投資を経営資源配分の最優先事項とし、リーダーシップを発揮。

原則②：サプライチェーン保護

系列・取引先・海外拠点

ビジネスパートナーや委託先の脆弱性を突いた侵入リスクを全方位統制。

原則③：情報開示と対話

ステークホルダー責任

平時のセキュリティ方針開示と、インシデント発生時の迅速・誠実な公表対応。

概要・背景・本質

巧妙化する標的型攻撃やランサムウェアに対し、現場任せのセキュリティ対策では防ぎきれません。本ガイドラインは、経営者がリーダーシップを発揮して「3原則（経営責任の認識、サプライチェーン対策、平時・緊急時の情報開示）」を理解し、担当幹部（CISO等）に「重要10項目」を具体的に指示してPDCAを回すことを義務付けています。

コア概念と着眼点

経営者の3原則：①セキュリティは経営責任、②自社のみならずサプライチェーン全体を保護、③平時・有事のステークホルダー対話
重要10項目：リスク管理体制の構築、資源配分、サプライチェーン統制、インシデント初動体制（CSIRT）、事業継続計画（BCP）等
侵入前提（サイバーレジリエンス）：100%防ぐことは不可能なため、早期検知・迅速封じ込め・早期復旧体制を構築
委託先管理：委託先・再委託先のセキュリティ基準遵守状況の定期実地監査

ITストラテジスト試験（午後I記述・午後II論文）での論述ポイント

午前IIで「ガイドラインの3原則」「重要10項目の内容」「CISOの役割」が出題される。午後II論文のセキュリティマネジメント論述において、『経産省サイバーセキュリティ経営ガイドラインに基づき、経営会議直下にセキュリティ委員会を新設し、CISO主導のCSIRT体制を整えた』と記述すると公的根拠に基づいた完璧な答案になる。