サイバーセキュリティ経営ガイドラインとは？3原則と重要10項目を整理【SG試験】

まず結論

サイバーセキュリティ経営ガイドラインは、経営者がサイバーセキュリティを経営課題として認識し、CISO等に必要な対策を指示するための指針です。

SG試験では、細かい版番号や文言暗記よりも、次のように判断します。

選択肢の内容	判断
経営者がリーダーシップを発揮し、CISO等に対策を指示する	適切
CISO等に経営上の権限や責任を持たせない	不適切
人材・予算・体制を確保する	適切
被害情報を外部に一切出さない	不適切
委託先やビジネスパートナーの対策状況を把握する	適切
取引先の監査や状況確認を禁止する	不適切

直感的な説明

サイバー攻撃は、情報システム部門だけの問題ではありません。

たとえば、ランサムウェアで工場や販売システムが止まれば、売上、顧客対応、取引先、社会的信用に影響します。個人情報が漏えいすれば、謝罪、報告、再発防止、取引先対応まで必要になります。

つまり、サイバーセキュリティは「パソコンを守る話」ではなく、事業を止めないための経営リスク管理です。

このとき経営者が、

方針を示す
体制を作る
予算と人材を確保する
委託先や取引先も含めて確認する
被害時の情報共有・開示を準備する

という判断を行うための道しるべが、サイバーセキュリティ経営ガイドラインです。

定義・仕組み

サイバーセキュリティ経営ガイドラインは、経済産業省とIPAが策定している、企業経営者向けのサイバーセキュリティ対策の指針です。

参考：経済産業省「サイバーセキュリティ経営ガイドラインと支援ツール」

参考：IPA「解説3 経営者が認識すべき3原則と指示すべき重要10項目」

SG試験で押さえる中心は、次の2つです。

経営者が認識すべき3原則
CISO等に指示すべき重要10項目

経営者が認識すべき3原則

原則	SG試験での覚え方
サイバーセキュリティを経営リスクとして扱う	現場任せにしない
自社だけでなく、委託先・取引先・サプライチェーンまで見る	自社だけ守ればよい、は誤り
平時・緊急時ともに関係者とコミュニケーションする	情報を一切出さない、は誤り

重要10項目の見方

重要10項目は、試験対策では丸暗記よりもグループで理解すると判断しやすくなります。

グループ	重要ポイント	選択肢での見方
方針・体制	対応方針、管理体制、責任者	経営者やCISO等の関与があるか
資源確保	予算、人材、育成、処遇	人材や予算を軽視していないか
リスク対応	リスク把握、対応計画、PDCA	一度決めて終わりになっていないか
インシデント対応	緊急対応、事業継続、復旧	被害時の連絡・復旧体制があるか
サプライチェーン	委託先・ビジネスパートナーの状況把握	取引先を確認対象に含めているか
情報共有・開示	情報収集、共有、開示	必要な関係者に情報を伝えるか

特に、SG試験では次の3つが出題されやすいです。

人材と予算を確保する
ビジネスパートナーや委託先の対策状況を把握する
被害発覚後に必要な情報共有・開示を行う

どんな場面で使う？

サイバーセキュリティ経営ガイドラインは、組織としてサイバーセキュリティを経営判断に組み込む場面で使います。

たとえば、次のような場面です。

経営層がセキュリティ方針を決める
CISOや情報セキュリティ責任者を任命する
セキュリティ人材の育成や処遇を見直す
セキュリティ対策の予算を確保する
委託先・クラウド事業者・ビジネスパートナーの対策状況を確認する
インシデント発生時の情報共有・公表方針を整える

SG試験では、次のように切り分けます。

問われ方	正答候補になりやすい考え方
CISOの任命	経営課題を理解し、責任と権限を持つ者を置く
人材確保	適切な処遇、育成、予算を用意する
取引先管理	監査・確認・契約などで対策状況を把握する
被害発覚後	関係者に必要な情報を共有し、拡大防止につなげる

自社に加えて確認すべき範囲

サイバーセキュリティ経営ガイドラインでは、自社だけでなく、サプライチェーン全体を意識した対策が重要です。

試験では、次のように「誰の対策状況を確認する話か」で選択肢を切ります。

対象の性質	判断	理由
商品・サービスの一般利用者	基本的には対象外	企業が実施状況を直接確認・管理する相手ではない
出資者などの利害関係者	基本的には対象外	企業統治上の関係はあっても、対策実施状況確認の中心ではない
委託先・取引先など業務上つながる相手	適切	サプライチェーン経由の影響を防ぐため、対策状況の把握が必要
事業所周辺の一般コミュニティ	基本的には対象外	地域貢献とは別で、サイバー対策の実施状況確認の中心ではない

「自社のセキュリティ対策に加えて確認する」と問われたら、サプライチェーン上の委託先・取引先・ビジネスパートナーを優先して考えます。

よくある誤解・混同

誤解1：CISOは権限のない担当者でよい

これは誤りです。

CISO等は、サイバーセキュリティ対策を実施する上での責任者です。経営課題や事業リスクを理解し、必要な判断・調整ができる立場である必要があります。

選択肢で「経営者レベルの権限を持たない者をCISOに任命する」といった表現があれば、基本的に不適切と判断します。

誤解2：攻撃情報は外部に一切出さない方がよい

これも誤りです。

もちろん、未確認情報や機密情報を無制限に公開するわけではありません。しかし、被害拡大や二次被害を防ぐためには、関係機関、顧客、取引先、ビジネスパートナーなどに、必要な情報を適切に共有・開示することが求められます。

SG試験では、「一切提供しない」「全面的に隠す」という表現は注意します。

誤解3：取引先のセキュリティ状況を把握してはいけない

これも誤りです。

サイバー攻撃は、自社だけでなく、委託先やビジネスパートナーを経由して影響することがあります。そのため、サプライチェーン全体を意識し、契約、監査、定期確認などを通じて対策状況を把握する必要があります。

詳しくは、委託先管理とは？外部委託のリスクを管理する考え方【SG試験】でも整理しています。

誤解4：中小企業の情報セキュリティ対策ガイドラインと同じもの

目的は近いですが、試験では切り分けが必要です。

用語	主な対象・見方
サイバーセキュリティ経営ガイドライン	経営者がサイバーセキュリティを経営課題として扱うための指針
中小企業の情報セキュリティ対策ガイドライン	中小企業が具体的な対策を進めるための実務寄りの指針
ISMS	情報セキュリティマネジメントを継続的に改善する仕組み

「経営者」「CISO」「3原則」「重要10項目」「サプライチェーン」「情報共有・開示」が出てきたら、サイバーセキュリティ経営ガイドラインを疑います。

確認問題（SG試験対策）

サイバーセキュリティ経営ガイドラインに沿った経営者の対応として、最も適切なものはどれか。

ア. CISOの判断を抑えるため、経営上の権限を持たない担当者をCISOに任命する。
イ. 攻撃情報の悪用を避けるため、被害に関する情報を関係者にも一切共有しない。
ウ. セキュリティ人材を確保するため、処遇の維持・改善や必要な予算の確保を指示する。
エ. 取引先との関係を優先し、ビジネスパートナーのセキュリティ対策状況を確認しない。

▶ クリックして答えと解説を見る（ここを開く）

正解：ウ

解説

ア：不適切。CISO等には、経営課題を理解し、必要な判断・調整ができる責任と権限が必要です。
イ：不適切。被害拡大や二次被害を防ぐため、必要な関係者への情報共有・開示が求められます。
ウ：適切。人材・予算・体制の確保は、経営者がCISO等に指示すべき重要な対応です。
エ：不適切。委託先やビジネスパートナーを含め、サプライチェーン全体の対策状況を把握する必要があります。

👉 判断ポイント

「経営者のリーダーシップ」「人材・予算」「取引先を含む確認」「必要な情報共有」がある選択肢を優先します。

まとめ（試験直前用）

サイバーセキュリティ経営ガイドライン＝経営者がセキュリティを経営課題として扱うための指針。
CISO等には、責任と権限を持つ者を任命する。
人材・予算・体制の確保、取引先を含めた状況把握、情報共有・開示が重要。
「現場任せ」「情報を一切出さない」「取引先を確認しない」は不適切。

🔗 関連記事

🏠 情報セキュリティマネジメントトップに戻る