セキュリティ・法務・リスクマネジメント重要度:★★★出題: AM2・PM1・PM2

サイバーセキュリティ経営ガイドライン

さいばーせきゅりてぃけいえいがいどらいん / Cybersecurity Management Guidelines (METI / IPA)

経済産業省とIPAが策定した、サイバー攻撃から企業価値を守るために経営者が認識すべき3原則と指示すべき重要10項目。

3行速習ポイント

サイバーセキュリティを「IT部門のコスト」ではなく「経営者自らが取り組むべき投資・経営課題」と位置づける。
自社単体だけでなく、サプライチェーン（取引先・委託先・海外子会社）全体へのセキュリティ統制を求める。
ITストラテジストは、CISO（最高情報セキュリティ責任者）と連携し、経営陣にセキュリティ投資を提言する。

図解

図サイバーセキュリティ経営ガイドラインの3原則構成要素・基本原則

経営者が認識・行動すべき3大鉄則

🏛 サイバーセキュリティ経営ガイドラインの3原則（中核を構成する 3 つの柱）

経営者の責務

原則①：経営責任の自覚

IT部門任せの脱却

サイバーリスクを単なるIT部門の技術課題ではなく企業の存続に関わる経営リスクと位置付け、経営者自らがCISO任命とセキュリティ投資配分を主導する。

委託先・系列統制

原則②：サプライチェーン保護

系列・取引先・海外拠点

自社単体の防御にとどまらず、国内外の子会社・業務委託先・取引先を含めたサプライチェーン全体でセキュリティ基準の合意と監査・統制を徹底する。

情報開示・対話

原則③：情報開示と対話

ステークホルダー責任

平時から株主・顧客へセキュリティ対策状況を積極開示して信頼を築くとともに、万一のインシデント発生時は隠蔽せず迅速・正確に事実と対策を公表する。

💡 午前IIでは3原則10項目が頻出。午後IIではセキュリティをIT部門任せにせず、経営会議直下のCISO・CSIRT体制と委託先を含むサプライチェーン統制として描く。

概要と本質

巧妙化する標的型攻撃やランサムウェアに対し、現場任せのセキュリティ対策では防ぎきれません。本ガイドラインは、経営者がリーダーシップを発揮して「3原則（経営責任の認識、サプライチェーン対策、平時・緊急時の情報開示）」を理解し、担当幹部（CISO等）に「重要10項目」を具体的に指示してPDCAを回すことを義務付けています。

重要ポイント・コア概念

経営者の3原則：①セキュリティは経営責任、②自社のみならずサプライチェーン全体を保護、③平時・有事のステークホルダー対話
重要10項目：リスク管理体制の構築、資源配分、サプライチェーン統制、インシデント初動体制（CSIRT）、事業継続計画（BCP）等
侵入前提（サイバーレジリエンス）：100%防ぐことは不可能なため、早期検知・迅速封じ込め・早期復旧体制を構築
委託先管理：委託先・再委託先のセキュリティ基準遵守状況の定期実地監査

試験対策・午後II論文での活用法

午前IIで「ガイドラインの3原則」「重要10項目の内容」「CISOの役割」が出題される。午後II論文のセキュリティマネジメント論述において、『経産省サイバーセキュリティ経営ガイドラインに基づき、経営会議直下にセキュリティ委員会を新設し、CISO主導のCSIRT体制を整えた』と記述すると公的根拠に基づいた完璧な答案になる。