---
title: "サイバーセキュリティ経営ガイドラインとは？経営者とサプライチェーンの対策【基本情報技術者試験】"
description: "サイバーセキュリティ経営ガイドラインを、経営者の責任、CISO、人材・予算、サプライチェーン対策、情報共有の観点から整理し、FE試験で選択肢を切る判断基準を解説します。"
last_modified_at: "2026-08-04"
canonical_url: "https://stemtazoo.github.io/fe/cybersecurity-management-guideline/"
section: "fe"
---

## まず結論

サイバーセキュリティ経営ガイドラインは、**経営者がサイバーセキュリティを経営課題として扱い、必要な体制・人材・予算を整え、自社だけでなくサプライチェーン全体の対策を進めるための指針**です。

基本情報技術者試験では、細かな項目の丸暗記よりも、次の判断軸が重要です。

```text
経営者が責任を持つ
→ 現場任せにしない

人材・予算・体制を確保する
→ 対策を実行できる状態にする

委託先・取引先も確認する
→ サプライチェーン全体で守る

必要な情報を共有する
→ 被害拡大を防ぐ
```

特に、「自社に加えて誰の対策状況を確認するか」と問われたら、**委託先・取引先・ビジネスパートナーなど、業務上つながる相手**を優先して考えます。

## 直感的な説明

自社の玄関だけを頑丈にしても、取引先とつながる通用口の鍵が弱ければ、そこから侵入されるかもしれません。

企業のシステムも同じです。

```text
自社の対策は十分
↓
委託先の認証情報が盗まれる
↓
委託先経由で自社へ侵入される
```

また、取引先のシステムが止まれば、自社の業務まで止まることがあります。

```text
部品の仕入先が攻撃を受ける
↓
部品が届かない
↓
自社の生産も止まる
```

このため、サイバーセキュリティは情報システム部門だけの問題ではありません。

売上、事業継続、取引先、顧客、社会的信用に影響するため、経営者が判断する必要があります。

## 定義・仕組み

サイバーセキュリティ経営ガイドラインは、企業の経営者がサイバー攻撃によるリスクを経営課題として認識し、責任者へ必要な対策を指示するための指針です。

FE試験では、次の5つに分けて考えると整理しやすくなります。

### 1. 経営者が責任を持つ

サイバーセキュリティ対策は、情報システム部門だけに任せるものではありません。

経営者は、事業への影響を考えながら方針を示します。

```text
サイバー攻撃
↓
業務停止・情報漏えい・信用低下
↓
経営リスク
```

したがって、選択肢に「担当者へすべて任せ、経営者は関与しない」とあれば不適切です。

### 2. CISOなどの責任者を置く

経営者は、CISOなどの責任者に対策を指示します。

CISOは、組織全体の情報セキュリティを統括する立場です。

```text
経営者
↓ 方針・指示
CISOなどの責任者
↓ 実施・調整
各部門・委託先
```

責任者を置くだけでなく、必要な権限や役割を与えることが重要です。

### 3. 人材・予算・体制を確保する

方針だけでは対策は進みません。

次のような経営資源が必要です。

- セキュリティ人材
- 教育と訓練
- 対策に必要な予算
- インシデント対応体制
- 継続的に見直す仕組み

```text
方針だけある
＋
人材・予算がない
→ 実行できない
```

そのため、人材や予算を軽視する選択肢は誤りになりやすいです。

### 4. サプライチェーン全体を見る

自社だけでなく、業務上つながる組織の対策状況も確認します。

対象になりやすいのは、次のような相手です。

- 委託先
- 取引先
- クラウド事業者
- システム開発会社
- 保守会社
- 物流会社
- グループ企業
- その他のビジネスパートナー

```text
自社
＋
委託先・取引先
＋
外部サービス
→ サプライチェーン全体で対策
```

確認方法には、契約条件、チェックリスト、定期報告、監査、インシデント発生時の連絡手順などがあります。

### 5. 平時と緊急時に情報共有する

必要な情報を一切共有しないのは適切ではありません。

平時には、脅威情報や注意事項を関係者と共有します。

緊急時には、被害拡大や二次被害を防ぐため、関係者へ必要な情報を伝えます。

```text
情報を無制限に公開する
→ 不適切

必要な相手へ必要な情報を共有する
→ 適切
```

公式の情報は、経済産業省の「サイバーセキュリティ経営ガイドラインと支援ツール」から確認できます。

- [経済産業省：サイバーセキュリティ経営ガイドラインと支援ツール](https://www.meti.go.jp/policy/netsecurity/mng_guide.html)

## 科目Aでどう出る？

科目Aでは、ガイドラインの考え方に合う対象や対応を選ぶ問題として出題されます。

### 判断手順

```text
1. 経営者が関与しているか
2. 人材・予算・体制を確保しているか
3. 自社だけでなく取引先も含めているか
4. 必要な情報共有を拒否していないか
```

### 「誰の対策を確認するか」

| 対象 | 判断 | 理由 |
|---|---|---|
| 商品やサービスの一般利用者 | 基本的には対象外 | 企業が対策実施状況を直接管理する相手ではない |
| 株主 | 基本的には対象外 | 出資関係であり、業務上の攻撃経路とは限らない |
| 委託先・取引先・ビジネスパートナー | 適切 | サプライチェーン経由で影響を受ける可能性がある |
| 事業所周辺の地域社会 | 基本的には対象外 | 地域貢献とは別の論点である |

```text
自社と仕事でつながっている
→ サプライチェーンの確認対象
```

### 選択肢を切るキーワード

| 選択肢の表現 | 判断 |
|---|---|
| 経営者がリーダーシップを発揮する | 適切 |
| CISOなどへ責任と権限を与える | 適切 |
| 人材と予算を確保する | 適切 |
| 委託先・取引先の対策状況を把握する | 適切 |
| 被害時に必要な情報を関係者へ共有する | 適切 |
| 情報システム部門だけに任せる | 不適切 |
| 自社だけ守ればよい | 不適切 |
| 被害情報を一切共有しない | 不適切 |

## どんな場面で使う？

サイバーセキュリティ経営ガイドラインは、組織のセキュリティ対策を経営判断として進める場面で使います。

例えば、次のような場面です。

- 経営層がセキュリティ方針を決める
- CISOや責任者を任命する
- セキュリティ人材の採用・育成を進める
- 対策や訓練の予算を確保する
- 委託先やクラウド事業者の状況を確認する
- インシデント発生時の連絡・公表手順を決める
- 事業継続計画へサイバー攻撃対応を組み込む

### サプライチェーン対策の例

```text
システム保守会社へ管理者権限を与える
↓
アクセス方法や認証方法を契約で確認
↓
定期的に権限と利用状況を見直す
```

```text
クラウドサービスを利用する
↓
障害時の連絡方法と復旧方針を確認
↓
自社の事業継続計画へ反映する
```

## よくある誤解・混同

### 自社の対策だけで十分

誤りです。

委託先や取引先が攻撃を受けると、自社の認証情報、データ、業務継続にも影響する可能性があります。

```text
自社の防御
＋
取引先の防御
→ サプライチェーン全体の安全性
```

### 株主もステークホルダなので確認対象になる

株主は重要なステークホルダですが、この論点では業務上のつながりが重要です。

```text
出資関係
→ 株主

業務やシステムでつながる
→ サプライチェーン
```

### 一般利用者の対策状況を企業が確認する

利用者へ安全な使い方を案内することはあります。

ただし、ガイドラインで対策状況の把握が重視される中心は、委託先や取引先などのビジネスパートナーです。

### 対策はCISOに任せれば経営者は関与しなくてよい

誤りです。

CISOは実施責任者ですが、経営者は方針、人材、予算、体制に関する判断を行います。

```text
経営者
→ 方針・資源・責任

CISO
→ 実施・管理・調整
```

### 被害情報は一切共有しない方が安全

誤りです。

未確認情報や機密情報を無制限に公開する必要はありません。

しかし、被害拡大を防ぐため、顧客、取引先、関係機関などへ必要な情報を適切に共有することがあります。

### 情報セキュリティ対策ベンチマークと同じもの

異なります。

| 用語 | 主な役割 |
|---|---|
| サイバーセキュリティ経営ガイドライン | 経営者が対策を経営課題として進めるための指針 |
| 情報セキュリティ対策ベンチマーク | 組織の対策状況を自己診断する仕組み |
| ISMS | 情報セキュリティを継続的に管理・改善する仕組み |

## まとめ（試験直前用）

- サイバーセキュリティは、情報システム部門だけでなく**経営者が扱う経営課題**
- 経営者は、CISOなどの責任者、人材、予算、体制を整える
- 自社だけでなく、委託先・取引先・クラウド事業者なども確認する
- 「一般利用者・株主・地域社会」より、**業務上つながるビジネスパートナー**を優先する
- 必要な情報共有まで一切拒否する選択肢は不適切

```text
経営者の関与
＋
人材・予算・体制
＋
サプライチェーン
＋
情報共有
→ サイバーセキュリティ経営ガイドライン
```