サイバーセキュリティ経営ガイドライン

3行要約（速習ポイント）

• 1サイバーセキュリティを「IT部門のコスト」ではなく「経営者自らが取り組むべき投資・経営課題」と位置づける。
• 2自社単体だけでなく、サプライチェーン（取引先・委託先・海外子会社）全体へのセキュリティ統制を求める。
• 3ITストラテジストは、CISO（最高情報セキュリティ責任者）と連携し、経営陣にセキュリティ投資を提言する。

概念・アーキテクチャ図解

経営者が認識・行動すべき3大鉄則

概要・背景・本質

巧妙化する標的型攻撃やランサムウェアに対し、現場任せのセキュリティ対策では防ぎきれません。本ガイドラインは、経営者がリーダーシップを発揮して「3原則（経営責任の認識、サプライチェーン対策、平時・緊急時の情報開示）」を理解し、担当幹部（CISO等）に「重要10項目」を具体的に指示してPDCAを回すことを義務付けています。

コア概念と着眼点

• 経営者の3原則：①セキュリティは経営責任、②自社のみならずサプライチェーン全体を保護、③平時・有事のステークホルダー対話
• 重要10項目：リスク管理体制の構築、資源配分、サプライチェーン統制、インシデント初動体制（CSIRT）、事業継続計画（BCP）等
• 侵入前提（サイバーレジリエンス）：100%防ぐことは不可能なため、早期検知・迅速封じ込め・早期復旧体制を構築
• 委託先管理：委託先・再委託先のセキュリティ基準遵守状況の定期実地監査

ITストラテジスト試験（午後I記述・午後II論文）での論述ポイント

午前IIで「ガイドラインの3原則」「重要10項目の内容」「CISOの役割」が出題される。午後II論文のセキュリティマネジメント論述において、『経産省サイバーセキュリティ経営ガイドラインに基づき、経営会議直下にセキュリティ委員会を新設し、CISO主導のCSIRT体制を整えた』と記述すると公的根拠に基づいた完璧な答案になる。

小論文で使える実践フレーズ・キーワード

関連するITストラテジスト重要用語

『サイバーセキュリティ経営ガイドライン』が出題された関連過去問演習