「サイバーセキュリティ経営ガイドライン」の概要

経営者がサイバーセキュリティ対策を進めるときに、何を意識し、担当者に何を指示すべきかをまとめた、経済産業省とIPA（情報処理推進機構）の指針です。

サイバーセキュリティを「IT部門の仕事」ではなく「経営の課題」として捉えることを求めている点が特徴です。法律ではないため守らなくても罰則はありませんが、取引先から対策の状況を問われたときや、社内で対策を見直すときの基準として広く使われています。

要点

• 経営者が認識すべき「3原則」と、責任者に指示すべき「重要10項目」で構成されています。
• インシデント発生に備えた体制の構築と、復旧に備えた体制の整備を、重要項目に含めています。
• 法的な義務ではありませんが、取引先や監査で対策の水準を示す基準として使われています。

3原則

1. 経営者は、サイバーセキュリティリスクを経営リスクの一つとして認識し、自らのリーダーシップで対策を進める
2. 自社だけでなく、サプライチェーン全体にわたる対策への目配りが必要である
3. 平時と緊急時のいずれでも、関係者との積極的なコミュニケーションが必要である

インシデント対応に関する項目

重要10項目には、インシデント発生時の緊急対応体制の整備と、被害に備えた復旧体制の整備が含まれています。いずれも、CSIRTの設置や、演習の実施などを例に挙げています。

使い方

IPAは、ガイドラインの実践を支援する「プラクティス集」などの資料も公開しています。自組織の対策状況を10項目に沿って点検し、経営会議で不足している項目を確認する使い方が一般的です。

実務のポイント

• 10項目に沿って、自組織の対策状況を点検します。
• インシデント対応体制の項目は、机上演習の結果で評価します。
• 点検結果を経営会議で報告します。

GuardPlanでできること

GuardPlanは、ガイドラインが求める緊急対応体制を、役割と手順としてシステムに登録し、事故のときに実際に動かせる形にすることを支援します。

関連用語

• CISO（最高情報セキュリティ責任者）
• CSIRT（シーサート）
• サプライチェーン攻撃
• インシデント対応計画

参考資料

• 経済産業省・IPA「サイバーセキュリティ経営ガイドライン Ver 3.0」

執筆：GuardPlan編集部　最終更新日：2026年11月4日

← 用語集トップへ戻る