セキュリティ経営とガイドライン

セキュリティ経営は、情報セキュリティを経営者自身が責任をもって取り組む経営課題として扱う考え方である。経済産業省とIPAが示すサイバーセキュリティ経営ガイドラインは、経営者が認識すべき原則と、担当幹部に経営者が指示すべき事項をまとめた指針である。試験では、ガイドラインの役割と、JISで定義される用語や法制度との違いが問われる。

原理と仕組み

サイバーセキュリティ経営ガイドラインは、企業がIT活用を進める中でサイバー攻撃から企業を守る観点から、経営者が認識すべき三つの原則を示している。 あわせて、対策の責任者となる担当幹部に経営者が指示すべき重要項目を定めており、経営者のリーダーシップによって組織全体の対策を進める構造になっている。 この構造は、Ver1.1の時点でも、経営者の認識すべき3原則と担当幹部への指示事項をまとめる形で示されていた。 ガイドラインはセキュリティ対策をコストではなく経営上の投資として捉えることを求めており、経営判断として対策の優先度を決める視点が重視される。

判断の基準や数値

JIS Q 27000:2019で定義されるリスク評価とは、リスク分析の結果をリスク基準と比較し、リスクおよびその大きさが受容可能か許容可能かを決めるプロセスである。 リスク基準との比較によって、対応が必要かどうかを判断する点がこの定義の要点である。リスク評価の前段で行うリスク分析は、リスクの性質と大きさを明らかにする役割を担う。 リスクアセスメントは、JIS Q 31000:2019において、リスク特定、リスク分析、リスク評価の三つのプロセスで構成される。特定でリスクを見つけ、分析でその性質と水準を理解し、評価で基準と照らして対応の要否や優先度を決める。 リスク対応やリスク受容はアセスメントの後の対応に関係する考え方であり、アセスメントを構成する三つのプロセスには含まれない。