概要

サイバーセキュリティ経営ガイドラインは、経済産業省とIPA（情報処理推進機構）が策定した、経営者がリーダーシップを発揮してサイバーセキュリティ対策を推進するための指針です。国家レベルの法制度を定めるサイバーセキュリティ基本法とは異なり、個別企業の経営者に向けて「何を認識し、何を指示すべきか」を具体的に示す実務指針である点が特徴です。SC試験では3原則・重要10項目・中小企業向け施策との関係が頻出します。

仕組みと動作原理

サイバーセキュリティ経営ガイドラインの位置づけ

サイバーセキュリティはもはや経営リスクの一つであり、IT部門任せにできないという問題意識から策定されました。対象読者は「経営者」であり、CISOやセキュリティ担当者ではなく、経営トップが読んで実行することを前提としています。

項目内容
策定主体経済産業省・IPA
初版公表2015年（以降、複数回改訂）
対象読者経営者（特に大企業・中規模企業）
目的経営者のリーダーシップによるサイバーセキュリティ対策の推進
サイバーセキュリティ基本法との違い基本法は国家戦略・NISC設置等の法制度、本ガイドラインは個別企業の経営実務指針
サイバーセキュリティ関連の指針の位置づけ
サイバーセキュリティ基本法
国家戦略・NISC設置（国レベル）
ISMS（ISO/IEC 27001）
管理体制の国際規格（組織レベル）
3原則
経営者が認識すべき前提
重要10項目
経営者がCISO等に指示すべき事項
可視化プラットフォーム
自社の対策状況を診断
SECURITY ACTION
中小企業向けの自己宣言制度
サイバーセキュリティ経営ガイドライン
経営者向け実務指針

経営者が認識すべき3原則

ガイドラインの中核となるのが、経営者がまず理解すべき3つの原則です。

原則内容
原則1経営者はサイバーセキュリティリスクを認識し、リーダーシップによって対策を進めることが必要
原則2自社は勿論のこと、ビジネスパートナーや委託先も含めたサプライチェーンに対するセキュリティ対策が必要
原則3平時及び緊急時のいずれにおいても、サイバーセキュリティリスクや対策に係る情報開示など、関係者との適切なコミュニケーションが必要

原則2は特にサプライチェーン攻撃の増加を背景に重視されており、自社だけでなく取引先・委託先まで含めたリスク管理を経営者に求めています。

経営者が指示すべき重要10項目

3原則を踏まえ、経営者がCISO（最高情報セキュリティ責任者）等の担当幹部に指示すべき事項が10項目にまとめられています。大きく「リスク管理体制の構築」「対策の実施」「インシデント対応・復旧」の3フェーズに整理できます。

フェーズ指示項目（概要）
方針・体制の構築1. セキュリティ方針の策定
2. マネジメント体制の構築
3. リソース（予算・人材）の確保
4. リスクの把握と対応計画の策定
対策の実施と評価5. PDCAサイクルの実施（対策状況の把握と継続的改善）
6. サプライチェーン全体の対策（委託先を含む）
インシデント対応・共有7. 緊急時の対応体制（CSIRT等）の整備
8. 被害発覚後の復旧体制の整備
9. インシデントに備えた情報共有活動への参加
10. 情報開示（ステークホルダーへの適切な説明）
経営者が指示すべき重要10項目の進め方（3フェーズ）
1
フェーズ1
方針・体制の構築
方針策定・体制構築・予算確保・リスク把握（項目1〜4）
 2
フェーズ2
対策の実施と評価
PDCA運用・サプライチェーン対策（項目5〜6）
 3
フェーズ3
インシデント対応・共有
CSIRT整備・復旧体制・情報共有・情報開示（項目7〜10）

サイバーセキュリティ経営可視化プラットフォーム

自社のサイバーセキュリティ対策状況を、経営ガイドラインの重要10項目等に基づいて可視化・自己診断できるIPA提供のツールです。診断結果はレーダーチャート等で示され、業界平均との比較や経年変化の把握が可能です。経営者が「自社の対策がどの水準にあるか」を定量的・視覚的に把握し、投資判断につなげることを目的としています。

SECURITY ACTIONと中小企業向け施策

サイバーセキュリティ経営ガイドラインは主に大企業・中規模企業を想定していますが、リソースの限られる中小企業向けには、より簡易な実践の枠組みとして以下が用意されています。

制度内容
SECURITY ACTION中小企業自らが情報セキュリティ対策に取り組むことをIPAに自己宣言する制度。★一つ星（基本的な対策の実施）・★★二つ星（より高度な取組み）の2段階
情報セキュリティ5か条SECURITY ACTION一つ星の宣言要件。OS更新・ウイルス対策ソフト導入・パスワード管理・共有設定確認・脅威情報収集の5項目
中小企業の情報セキュリティ対策ガイドラインIPAが別途策定する、中小企業向けにかみ砕いた実践ガイド。経営ガイドラインの考え方を中小企業の実情に合わせて具体化
サイバーセキュリティお助け隊サービス中小企業向けに、相談対応・見守り・保険等をワンパッケージで提供する経産省認定サービス

SECURITY ACTIONの宣言は、IT導入補助金など一部の公的支援策の申請要件になっている点も試験・実務の両面で重要です。

SC試験での頻出ポイント

  • サイバーセキュリティ基本法との違い：基本法は国家戦略・NISC設置等の法制度、経営ガイドラインは個別企業の経営者向け実務指針
  • 3原則の要点：経営者のリーダーシップ・サプライチェーン全体の対策・関係者との適切なコミュニケーション
  • 重要10項目の分類：体制構築（1〜4）・対策実施（5〜6）・インシデント対応/共有（7〜10）の大まかな流れ
  • サイバーセキュリティ経営可視化プラットフォーム：自社の対策状況を診断・可視化するIPAのツール
  • SECURITY ACTIONと情報セキュリティ5か条：中小企業向けの自己宣言制度、一つ星の宣言要件が5か条

よくある誤問・ひっかけパターン

誤り① 「サイバーセキュリティ経営ガイドラインは国のサイバーセキュリティ戦略を定める法律である」→ 誤。これは法律ではなく、経済産業省とIPAが策定した経営者向けの指針（ガイドライン）です。国家戦略・法制度はサイバーセキュリティ基本法が定めます。

誤り② 「重要10項目はCISOやセキュリティ担当者が自ら実行する項目である」→ 誤。重要10項目は経営者が担当幹部（CISO等）に指示すべき事項として整理されたものです。経営者自身の関与が前提です。

誤り③ 「SECURITY ACTIONは大企業向けの認証制度である」→ 誤。SECURITY ACTIONは主に中小企業が対象で、第三者認証ではなく自己宣言制度です。大企業向けの体制整備はサイバーセキュリティ経営ガイドライン本体やISMS認証が中心となります。

関連用語

重要キーワード

用語説明
サイバーセキュリティ経営ガイドライン経産省・IPAが策定した、経営者向けのサイバーセキュリティ対策実務指針
3原則経営者のリーダーシップ・サプライチェーン対策・関係者とのコミュニケーションの3つの認識事項
重要10項目経営者がCISO等に指示すべき、体制構築から緊急時対応までの10の実施事項
サイバーセキュリティ経営可視化プラットフォーム自社の対策状況を診断・可視化するIPA提供のツール
SECURITY ACTION中小企業がセキュリティ対策への取組みをIPAに自己宣言する制度（一つ星・二つ星）
情報セキュリティ5か条SECURITY ACTION一つ星宣言の要件となる5つの基本対策