「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典

予備知識

問題

正解

ピヨピヨ解説

「サイバーセキュリティ経営ガイドライン(Ver1.1)」が何か知らなくても国語力で解けそうですね。
選択肢を順番に見ていきましょう。

「ア：緊急時における最高情報セキュリティ責任者(CISO)の独断専行を防ぐために，経営者レベルの権限をもたない者をCISOに任命する。」は明らかに間違いです。
最高うんちゃら責任者に経営者レベルの権限を持たせないのはマズいでしょう。
責任はガッツリかぶせるけど権限は与えない、常識で考えてもおかしいです。

「イ：サイバー攻撃が模倣されることを防ぐために，自社に対して行われた攻撃についての情報を外部に一切提供しないよう命じる。」は微妙です。
むやみに外部に情報を公開しないのは良さそうな気がしますけどね。
この手の問題では「一切提供しないよう命じる」の「一切」のように極端な表現が使われているときは不正解な選択肢の場合が多いものです。
とりあえず保留しておきましょう。

「ウ：サイバーセキュリティ人材を確保するために，適切な処遇の維持，改善や適切な予算の確保を指示する。」は、かなり良さそうですね。
上から見ても下から見ても非の打ちどころがありません。
「イ」よりも、さらに正しそうな選択肢です。
おそらく、これが正解でしょう。

「エ：ビジネスパートナとの契約に当たり，ビジネスパートナに対して自社が監査を実施することやビジネスパートナのサイバーセキュリティ対策状況を自社が把握することを禁止する。」は良くなさそうですね。
乱暴に表現すると「ビジネスパートナーのやってることをチェックしないよ！」と言っています。
ちゃんとビジネスパートナーの動向にも目を光らせておくべきでしょう。

一番それっぽい選択肢は「ウ」ですね。

答えをカンニングしたところ「ウ：サイバーセキュリティ人材を確保するために，適切な処遇の維持，改善や適切な予算の確保を指示する。」が正解でした。

ちなみに「サイバーセキュリティ経営ガイドライン(Ver1.1)」を読んだところ、以下のような記述が ありました。

３．３．サイバー攻撃を防ぐための事前対策
（６）サイバーセキュリティ対策のための資源（予算、人材等）確保
サイバーセキュリティリスクへの対策を実施するための予算確保は出来ていますか？
また、サイバーセキュリティ人材の育成や適切な処遇をさせていますか？

対策を怠った場合のシナリオ
・適切な予算確保が出来ていない場合、組織内でのサイバーセキュリティ対策の実施や人材の確保が困難となるほか、信頼できる外部のベンダへの委託が困難となる恐れがある。
・適切な処遇の維持、改善ができないと、有能なサイバーセキュリティ人材を自社にとどめておくことができない。

対策例
・必要なサイバーセキュリティの事前対策を明確にし、それに要する費用を明らかにするよう、指示を行う。
・セキュリティ担当者以外も含めた従業員向け研修等のための予算を確保し、継続的にセキュリティ教育を実施する。
・経営会議などで対策の内容に見合った適切な費用かどうかを評価した上で、予算として承認を得る。
・サイバーセキュリティ人材を組織内で雇用することが困難な場合は、専門ベンダの活用を検討する。
・組織内人事部門に対して、組織内のIT人材育成の戦略の中で、セキュリティ人材育成、キャリアパス構築を指示し、内容を確認する。

これを見ても「ウ：サイバーセキュリティ人材を確保するために，適切な処遇の維持，改善や適切な予算の確保を指示する。」が正しそうですよね。