午前I問題
経済産業省・IPAが策定した「サイバーセキュリティ経営ガイドライン」に関する記述として、適切なものはどれか。
ア）本ガイドラインはサイバーセキュリティ基本法に基づき国家戦略やNISCの設置等を定めた法制度であり、個別企業への適用はない。
イ）本ガイドラインは経営者を主たる対象読者とし、経営者がリーダーシップを発揮してサイバーセキュリティ対策を推進するために認識すべき事項や指示すべき事項を示す実務指針である。
ウ）本ガイドラインは大企業のみを対象としており、中小企業向けの施策は別途独立した制度として一切関連付けられていない。
エ）本ガイドラインにおけるセキュリティ対策の実施責任は、CISOやセキュリティ部門にすべて委ねられ、経営者は結果の報告を受けるのみでよいとされている。
午前I の解答・解説を見る
正解： イ
解説：
- ア）不正解。国家戦略やNISCの設置等の法制度を定めるのはサイバーセキュリティ基本法である。サイバーセキュリティ経営ガイドラインはこれとは異なり、個別企業の経営者に向けた実務指針である。
- イ）正解。本ガイドラインは経営者を主たる読者とし、経営者が認識すべき3原則、CISO等に指示すべき重要10項目を示すことで、経営者自身がリーダーシップを発揮してセキュリティ対策を推進することを目的としている。
- ウ）不正解。中小企業向けには「SECURITY ACTION」という自己宣言制度が関連付けられており、本ガイドラインの考え方を中小企業でも実践しやすい形で展開している。
- エ）不正解。本ガイドラインは経営者自身がセキュリティリスクを経営リスクの一つとして認識し、リーダーシップを発揮して対策を主導することを求めており、単に結果報告を受けるだけの受動的な役割は想定していない。
| 3原則 | 内容 |
|---|---|
| 原則1 | 経営者はリーダーシップでセキュリティ対策を進める |
| 原則2 | 自社・委託先を含むサプライチェーン全体の対策が必要 |
| 原則3 | 平時・緊急時ともに関係者との適切なコミュニケーションが必要 |
午前II問題
サイバーセキュリティ経営ガイドラインが経営者に対して指示すべきとする「重要10項目」に関する記述として、適切なものはどれか。
ア）重要10項目には、自社のセキュリティ対策のみが含まれ、ビジネスパートナーや委託先といったサプライチェーン全体への対策は含まれていない。
イ）重要10項目には、平時のリスク管理体制の構築だけでなく、緊急時の対応体制（CSIRT等）の整備やインシデント発覚後の復旧体制の整備も含まれる。
ウ）重要10項目はPDCAサイクルとは無関係に、一度実施すれば完了する単発の施策として位置づけられている。
エ）重要10項目のうち情報開示（ステークホルダーへの説明）は、上場企業のみに義務付けられた項目であり、非上場企業は対応不要である。
午前II の解答・解説を見る
正解： イ
解説：
- ア）不正解。重要10項目には「サプライチェーン全体の対策（委託先を含む）」が明確に含まれており、原則2（サプライチェーン対策の必要性）とも整合する。自社対策のみに限定されない。
- イ）正解。重要10項目は大きく「方針・体制の構築」「対策の実施と評価」「インシデント対応・共有」の3フェーズに整理でき、緊急時対応体制（CSIRT整備）や被害発覚後の復旧体制整備も含まれる。
- ウ）不正解。重要10項目にはPDCAサイクルの実施（対策状況の把握と継続的改善）が含まれており、単発の施策ではなく継続的な改善プロセスとして位置づけられている。
- エ）不正解。情報開示（ステークホルダーへの適切な説明）は上場・非上場を問わず、経営者が果たすべき項目として位置づけられている。取引先や顧客等のステークホルダーとの適切なコミュニケーションは企業規模・上場区分にかかわらず重要である。
| フェーズ | 指示項目の概要 |
|---|---|
| 方針・体制の構築 | 方針策定・マネジメント体制・予算/人材確保・リスク把握 |
| 対策の実施と評価 | PDCAサイクルの実施・サプライチェーン全体の対策 |
| インシデント対応・共有 | 緊急時対応体制・復旧体制・情報共有活動・情報開示 |
午後問題
K社（従業員600名、システム開発業）は複数の委託先（協力会社）を利用してソフトウェア開発を行っている。K社の情報システム部長L氏は、経営会議において以下の状況を説明した。
- K社は自社のセキュリティ対策として、EDR導入・多要素認証・年次のセキュリティ教育を実施している
- 一方、委託先である協力会社M社（従業員15名）に対しては契約書上「秘密保持義務」を課すのみで、
M社のセキュリティ対策の実施状況は確認していない
- K社のセキュリティ対策の予算は前年度から据え置きで、経営会議でのセキュリティ関連の議題は
年1回の年次報告のみであった
- 直近、M社の従業員の私物PC（マルウェア感染済み）を経由して、K社から預かった開発中の
ソースコード（顧客企業の未公開の新製品情報を含む）が外部に流出した可能性が発覚した経営陣はL氏の説明を受け、サイバーセキュリティ経営ガイドラインの観点から自社の体制を見直すこととした。
設問1
本件でK社の経営体制がサイバーセキュリティ経営ガイドラインのどの原則・項目に照らして不十分であったか、2点指摘せよ。
設問1の解答・解説を見る
正解例：
- 原則2（サプライチェーン全体のセキュリティ対策）違反：委託先M社のセキュリティ対策実施状況を確認・管理しておらず、契約書上の秘密保持義務のみに依存していた。
- 重要10項目「リソース（予算・人材）の確保」および経営者の関与不足：セキュリティ予算が据え置かれ、経営会議での議題も年1回の報告のみにとどまり、経営者がリーダーシップを発揮して継続的にリスクを把握・対応する体制になっていなかった。
解説・採点基準（計15点）：
| 採点項目 | キーワード | 配点 |
|---|---|---|
| 原則2（サプライチェーン対策）の不備への言及 | 「原則2」「委託先管理」「サプライチェーン」等 | 7点 |
| 経営者の関与不足・予算据え置き・年1回報告の不十分さへの言及 | 「予算確保」「経営者の関与」「PDCA不足」等 | 6点 |
| 2点が明確に区別して指摘されている | 構成の適切さ | 2点 |
契約書上の秘密保持義務だけでは委託先の実際のセキュリティレベルを担保できず、原則2が求める「委託先も含めたサプライチェーン対策」には、セキュリティ要件の契約への明記・監査・是正要求などの実効性のある管理が必要である点が本問の要点である。
設問2
K社が今後実施すべき委託先管理の具体策を2つ、および経営レベルでの改善策を1つ、それぞれ具体的に述べよ。
設問2の解答・解説を見る
正解例（委託先管理の具体策）：
- 委託契約にセキュリティ要件（EDR導入・アクセス制御・私物端末の業務利用禁止等）を具体的に明記し、契約前・契約後定期的にセキュリティ対策の実施状況を確認するセキュリティ監査またはチェックシートによる自己点検を義務付ける。
- 委託先に貸与・提供する開発環境を、委託先の私物端末に依存しないシンクライアント環境やVDI（仮想デスクトップ）に統一し、情報が委託先の端末にローカル保存されない構成にする。
正解例（経営レベルの改善策）： セキュリティを経営リスクの一つとして位置づけ、四半期ごとなど定期的に経営会議の議題として取り上げ、委託先を含むサプライチェーンリスクの状況・対策予算の妥当性を経営者自身が継続的に確認・判断する体制（PDCAサイクル）を構築する。
解説・採点基準（計15点）：
| 採点項目 | キーワード | 配点 |
|---|---|---|
| 委託契約へのセキュリティ要件明記・監査/点検の義務化への言及 | 「契約要件」「セキュリティ監査」「チェックシート」等 | 5点 |
| 私物端末依存の排除・VDI/シンクライアント等の技術的対策への言及 | 「VDI」「シンクライアント」「私物端末禁止」等 | 5点 |
| 経営会議での定期的な議題化・PDCAサイクルの構築への言及 | 「定期報告」「PDCA」「経営者の継続関与」等 | 5点 |
委託先管理は契約上の義務付けだけでなく、技術的な統制（情報が委託先端末に残らない構成）と組み合わせることが有効であり、経営レベルでは年1回の報告にとどめず継続的なリスク把握のサイクルを回すことが重要10項目の趣旨に合致する。
重要キーワード
| 用語 | 説明 |
|---|---|
| サイバーセキュリティ経営ガイドライン | 経産省・IPAが策定した経営者向け実務指針。3原則と重要10項目が中核 |
| 3原則 | 経営者のリーダーシップ／サプライチェーン対策／関係者との適切なコミュニケーションの3つ |
| 重要10項目 | 経営者がCISO等に指示すべき事項。方針・体制構築、対策実施・評価、インシデント対応・共有の3フェーズに整理される |
| SECURITY ACTION | 中小企業向けのセキュリティ対策自己宣言制度 |
| サイバーセキュリティ経営可視化プラットフォーム | 自社の対策状況を重要10項目等に基づき可視化・自己診断できるIPA提供ツール |
| サプライチェーンリスク | 自社だけでなく委託先・取引先の脆弱性を通じて生じる情報漏洩・攻撃のリスク |
まとめ
- 午前I視点： サイバーセキュリティ経営ガイドラインはサイバーセキュリティ基本法（国家戦略・法制度）とは異なり、個別企業の経営者向け実務指針である点、経営者自身がリーダーシップを発揮すべき点を押さえる
- 午前II視点： 重要10項目はサプライチェーン対策・PDCAサイクル・情報開示を含む包括的な項目である。上場・非上場を問わず適用される点にも注意
- 午後視点： 委託先管理の不備（契約上の義務のみに依存）を原則2に照らして指摘し、契約要件明記・技術的統制・経営レベルでのPDCA構築という多層的な改善策を論述できるようにする