---
title: "サイバーセキュリティ経営ガイドラインとは？3原則と重要10項目を整理【SG試験】"
description: "サイバーセキュリティ経営ガイドラインを、経営者がリスクを経営課題として扱うための指針として整理し、人材・予算、情報共有、委託先管理を現場任せにする誤答を避けます。"
last_modified_at: "2026-07-04"
canonical_url: "https://stemtazoo.github.io/sg/cybersecurity-management-guideline/"
section: "sg"
---

## まず結論

サイバーセキュリティ経営ガイドラインは、**経営者がサイバーセキュリティを経営課題として認識し、CISO等に必要な対策を指示するための指針**です。

SG試験では、細かい版番号や文言暗記よりも、次のように判断します。

| 選択肢の内容 | 判断 |
|---|---|
| 経営者がリーダーシップを発揮し、CISO等に対策を指示する | 適切 |
| CISO等に経営上の権限や責任を持たせない | 不適切 |
| 人材・予算・体制を確保する | 適切 |
| 被害情報を外部に一切出さない | 不適切 |
| 委託先やビジネスパートナーの対策状況を把握する | 適切 |
| 取引先の監査や状況確認を禁止する | 不適切 |

## 直感的な説明

サイバー攻撃は、情報システム部門だけの問題ではありません。

たとえば、ランサムウェアで工場や販売システムが止まれば、売上、顧客対応、取引先、社会的信用に影響します。個人情報が漏えいすれば、謝罪、報告、再発防止、取引先対応まで必要になります。

つまり、サイバーセキュリティは「パソコンを守る話」ではなく、**事業を止めないための経営リスク管理**です。

このとき経営者が、

- 方針を示す
- 体制を作る
- 予算と人材を確保する
- 委託先や取引先も含めて確認する
- 被害時の情報共有・開示を準備する

という判断を行うための道しるべが、サイバーセキュリティ経営ガイドラインです。

## 定義・仕組み

サイバーセキュリティ経営ガイドラインは、経済産業省とIPAが策定している、企業経営者向けのサイバーセキュリティ対策の指針です。

参考：経済産業省「[サイバーセキュリティ経営ガイドラインと支援ツール](https://www.meti.go.jp/policy/netsecurity/mng_guide.html)」

参考：IPA「[解説3 経営者が認識すべき3原則と指示すべき重要10項目](https://www.ipa.go.jp/security/economics/practices_navi/practice103.html)」

SG試験で押さえる中心は、次の2つです。

1. **経営者が認識すべき3原則**
2. **CISO等に指示すべき重要10項目**

### 経営者が認識すべき3原則

| 原則 | SG試験での覚え方 |
|---|---|
| サイバーセキュリティを経営リスクとして扱う | 現場任せにしない |
| 自社だけでなく、委託先・取引先・サプライチェーンまで見る | 自社だけ守ればよい、は誤り |
| 平時・緊急時ともに関係者とコミュニケーションする | 情報を一切出さない、は誤り |

### 重要10項目の見方

重要10項目は、試験対策では丸暗記よりもグループで理解すると判断しやすくなります。

| グループ | 重要ポイント | 選択肢での見方 |
|---|---|---|
| 方針・体制 | 対応方針、管理体制、責任者 | 経営者やCISO等の関与があるか |
| 資源確保 | 予算、人材、育成、処遇 | 人材や予算を軽視していないか |
| リスク対応 | リスク把握、対応計画、PDCA | 一度決めて終わりになっていないか |
| インシデント対応 | 緊急対応、事業継続、復旧 | 被害時の連絡・復旧体制があるか |
| サプライチェーン | 委託先・ビジネスパートナーの状況把握 | 取引先を確認対象に含めているか |
| 情報共有・開示 | 情報収集、共有、開示 | 必要な関係者に情報を伝えるか |

特に、SG試験では次の3つが出題されやすいです。

- **人材と予算を確保する**
- **ビジネスパートナーや委託先の対策状況を把握する**
- **被害発覚後に必要な情報共有・開示を行う**

## どんな場面で使う？

サイバーセキュリティ経営ガイドラインは、組織としてサイバーセキュリティを経営判断に組み込む場面で使います。

たとえば、次のような場面です。

- 経営層がセキュリティ方針を決める
- CISOや情報セキュリティ責任者を任命する
- セキュリティ人材の育成や処遇を見直す
- セキュリティ対策の予算を確保する
- 委託先・クラウド事業者・ビジネスパートナーの対策状況を確認する
- インシデント発生時の情報共有・公表方針を整える

SG試験では、次のように切り分けます。

| 問われ方 | 正答候補になりやすい考え方 |
|---|---|
| CISOの任命 | 経営課題を理解し、責任と権限を持つ者を置く |
| 人材確保 | 適切な処遇、育成、予算を用意する |
| 取引先管理 | 監査・確認・契約などで対策状況を把握する |
| 被害発覚後 | 関係者に必要な情報を共有し、拡大防止につなげる |

### 自社に加えて確認すべき範囲

サイバーセキュリティ経営ガイドラインでは、自社だけでなく、サプライチェーン全体を意識した対策が重要です。

試験では、次のように「誰の対策状況を確認する話か」で選択肢を切ります。

| 対象の性質 | 判断 | 理由 |
|---|---|---|
| 商品・サービスの一般利用者 | 基本的には対象外 | 企業が実施状況を直接確認・管理する相手ではない |
| 出資者などの利害関係者 | 基本的には対象外 | 企業統治上の関係はあっても、対策実施状況確認の中心ではない |
| 委託先・取引先など業務上つながる相手 | 適切 | サプライチェーン経由の影響を防ぐため、対策状況の把握が必要 |
| 事業所周辺の一般コミュニティ | 基本的には対象外 | 地域貢献とは別で、サイバー対策の実施状況確認の中心ではない |

「自社のセキュリティ対策に加えて確認する」と問われたら、**サプライチェーン上の委託先・取引先・ビジネスパートナー**を優先して考えます。

## よくある誤解・混同

### 誤解1：CISOは権限のない担当者でよい

これは誤りです。

CISO等は、サイバーセキュリティ対策を実施する上での責任者です。経営課題や事業リスクを理解し、必要な判断・調整ができる立場である必要があります。

選択肢で「経営者レベルの権限を持たない者をCISOに任命する」といった表現があれば、基本的に不適切と判断します。

### 誤解2：攻撃情報は外部に一切出さない方がよい

これも誤りです。

もちろん、未確認情報や機密情報を無制限に公開するわけではありません。しかし、被害拡大や二次被害を防ぐためには、関係機関、顧客、取引先、ビジネスパートナーなどに、必要な情報を適切に共有・開示することが求められます。

SG試験では、**「一切提供しない」「全面的に隠す」**という表現は注意します。

### 誤解3：取引先のセキュリティ状況を把握してはいけない

これも誤りです。

サイバー攻撃は、自社だけでなく、委託先やビジネスパートナーを経由して影響することがあります。そのため、サプライチェーン全体を意識し、契約、監査、定期確認などを通じて対策状況を把握する必要があります。

詳しくは、[委託先管理とは？外部委託のリスクを管理する考え方【SG試験】](https://stemtazoo.github.io/sg/vendor-management/)でも整理しています。

### 誤解4：中小企業の情報セキュリティ対策ガイドラインと同じもの

目的は近いですが、試験では切り分けが必要です。

| 用語 | 主な対象・見方 |
|---|---|
| サイバーセキュリティ経営ガイドライン | 経営者がサイバーセキュリティを経営課題として扱うための指針 |
| 中小企業の情報セキュリティ対策ガイドライン | 中小企業が具体的な対策を進めるための実務寄りの指針 |
| ISMS | 情報セキュリティマネジメントを継続的に改善する仕組み |

「経営者」「CISO」「3原則」「重要10項目」「サプライチェーン」「情報共有・開示」が出てきたら、サイバーセキュリティ経営ガイドラインを疑います。

## 確認問題（SG試験対策）

サイバーセキュリティ経営ガイドラインに沿った経営者の対応として、最も適切なものはどれか。

- ア. CISOの判断を抑えるため、経営上の権限を持たない担当者をCISOに任命する。
- イ. 攻撃情報の悪用を避けるため、被害に関する情報を関係者にも一切共有しない。
- ウ. セキュリティ人材を確保するため、処遇の維持・改善や必要な予算の確保を指示する。
- エ. 取引先との関係を優先し、ビジネスパートナーのセキュリティ対策状況を確認しない。

<details markdown="1">
<summary>▶ クリックして答えと解説を見る（ここを開く）</summary>

**正解：ウ**

### 解説
- ア：不適切。CISO等には、経営課題を理解し、必要な判断・調整ができる責任と権限が必要です。
- イ：不適切。被害拡大や二次被害を防ぐため、必要な関係者への情報共有・開示が求められます。
- ウ：適切。人材・予算・体制の確保は、経営者がCISO等に指示すべき重要な対応です。
- エ：不適切。委託先やビジネスパートナーを含め、サプライチェーン全体の対策状況を把握する必要があります。

👉 判断ポイント

「経営者のリーダーシップ」「人材・予算」「取引先を含む確認」「必要な情報共有」がある選択肢を優先します。

</details>

## まとめ（試験直前用）

- サイバーセキュリティ経営ガイドライン＝経営者がセキュリティを経営課題として扱うための指針。
- CISO等には、責任と権限を持つ者を任命する。
- 人材・予算・体制の確保、取引先を含めた状況把握、情報共有・開示が重要。
- 「現場任せ」「情報を一切出さない」「取引先を確認しない」は不適切。