令和3年度春期 応用情報技術者試験 午前 問41

正解：ア

AI解説

サイバーセキュリティ経営ガイドラインは、経営者がサイバーセキュリティリスクを経営リスクの一つとして認識し実践すべき「3原則」と、経営者がセキュリティ対策の責任者（CISO等）に指示すべき「重要10項目」をまとめた、経営者向けの実践指針である。 ア: 経営者が認識すべき3原則と、担当幹部に指示すべき重要10項目をまとめたものという記述は、サイバーセキュリティ経営ガイドラインの内容そのものであり正解である。 イ: 方針表明・マネジメントシステムの要求事項・情報資産の管理プロセスを体系的に規定するのはISMS（ISO/IEC 27001）に関する説明であり、経営ガイドラインではない。 ウ: ITガバナンスとITマネジメントに分け40のプロセスを定義するのはCOBITのフレームワークの説明であり、経営ガイドラインとは異なる。 エ: 国の責務を定めるという記述はサイバーセキュリティ基本法などの法律の性格を示すものであり、経済産業省・IPAが策定した実務向けガイドラインの説明ではない。 💡 経営ガイドラインは「3原則＋重要10項目」という数字とセットで覚えると選択肢を絞り込みやすい。