上司や取引先、親会社から「経済産業省のサイバーセキュリティ経営ガイドラインに沿って対策できているか」と問われ、まず文書の中身を把握したい——そんな場面でこの言葉を調べ始めた方は少なくありません。名前は知っていても、誰が出していて何が書いてあるのかを自分の言葉で説明できる状態にしておきたいところです。
このガイドラインは、経済産業省とIPA（情報処理推進機構）が策定した経営者向けのサイバーセキュリティ対策の指針です。看板となるのは「3原則」と「重要10項目」で、策定元や最新版・対象といった正体は次章で詳しく見ていきます。
本記事では、文書の正体と本体PDFの入手先から、3原則・重要10項目の全文、Ver3.0での改訂点、付録チェックシートや可視化ツールを使った自社の対応状況の点検までを整理します。原文の正式名称をそのまま載せているので、社内や取引先への説明の材料としてもご活用ください。
目次
一括ダウンロードする
サイバーセキュリティ経営ガイドラインとは
サイバーセキュリティ経営ガイドラインは、経済産業省と独立行政法人情報処理推進機構（IPA）が策定した、経営者がリーダーシップをとってサイバーセキュリティ対策を進めるための指針です。最新版は Ver3.0で、2023年（令和5年）3月24日に公開されました。
対象と狙いは、本体の冒頭で次のように示されています。経営者が認識すべき「3原則」と、担当幹部（CISO等）に指示すべき「重要10項目」をまとめた文書である、という位置づけです。
本ガイドラインは、大企業及び中小企業（小規模事業者を除く）の経営者を対象として、サイバー攻撃から企業を守る観点で、経営者が認識する必要がある「３原則」、及び経営者がサイバーセキュリティ対策を実施する上での責任者となる担当幹部（CISO 等）に指示すべき「重要１０項目」をまとめたものである。
出典：サイバーセキュリティ経営ガイドライン Ver3.0｜経済産業省・IPA
対象に中小企業も含まれますが、小規模事業者は想定の外に置かれています。本体には、あらゆる企業規模に対応した記述は難しいため大企業および中小企業（小規模事業者を除く）を想定した、という趣旨の説明があります。自社が対象かどうかは、この線引きを目安に判断できます。
さらに本体では、この対象のうち、ITに関するシステムやサービス等を供給する企業や、経営戦略上ITの利活用が不可欠である企業の経営者を主たる読み手として想定している、と示されています。自社が事業や経営の基盤としてITに依存しているほど、本ガイドラインが想定する立場に近いと考えてよいでしょう。
ここでいう小規模事業者（小規模企業者）は、中小企業基本法で「おおむね常時使用する従業員が20人以下（商業・サービス業は5人以下）の事業者」と定義されています。従業員数がこの規模を超える中小企業であれば、対象に含まれると考えてよいでしょう。
対象から外れる小規模事業者や、まず基礎から対策を整えたい中小企業には、IPAが別途公開している「中小企業の情報セキュリティ対策ガイドライン」が適しています。本ガイドライン本体でも付録B（参考情報）でこの中小企業向けガイドラインが案内されており、自社の規模に合わせて使い分けられます。
出典・参考資料（1件）
ガイドライン本体のPDFは、経済産業省の案内ページから会員登録不要・無料で入手できます。3原則・重要10項目の正式な文言や付録のチェックシートも、この本体PDFに収められています。まず原典を手元に置きたい場合は、下記から取得してください。
経営者が認識すべき「3原則」
ここからは、ガイドラインの看板のひとつである「3原則」を見ていきます。これは、経営者自身が認識したうえで対策を進めるべき考え方として示されたものです。原文の文言は次のとおりです。
経営者は、以下の３原則を認識し、対策を進めることが重要である。
出典：サイバーセキュリティ経営ガイドライン Ver3.0｜経済産業省・IPA
- 経営者は、サイバーセキュリティリスクが自社のリスクマネジメントにおける重要課題であることを認識し、自らのリーダーシップのもとで対策を進めることが必要
- サイバーセキュリティ確保に関する責務を全うするには、自社のみならず、国内外の拠点、ビジネスパートナーや委託先等、サプライチェーン全体にわたるサイバーセキュリティ対策への目配りが必要
- 平時及び緊急時のいずれにおいても、効果的なサイバーセキュリティ対策を実施するためには、関係者との積極的なコミュニケーションが必要
要点を補うと、原則1は経営者自身のリーダーシップ、原則2は自社にとどまらない委託先・サプライチェーン全体への目配り、原則3は平時・緊急時を通じた関係者とのコミュニケーションを求めています。いずれも担当部署に任せきりにせず、経営者が主導する前提で書かれている点が特徴です。
経営者が指示すべき「重要10項目」
続いて、経営者が担当幹部（CISO等）に指示すべき「重要10項目」です。10個がそろって初めて一連の備えになるため、まず指示1から指示10までの正式名称を原文のまま示します。
出典：サイバーセキュリティ経営ガイドライン Ver3.0｜経済産業省・IPA
- 指示１：サイバーセキュリティリスクの認識、組織全体での対応方針の策定
- 指示２：サイバーセキュリティリスク管理体制の構築
- 指示３：サイバーセキュリティ対策のための資源（予算、人材等）確保
- 指示４：サイバーセキュリティリスクの把握とリスク対応に関する計画の策定
- 指示５：サイバーセキュリティリスクに効果的に対応する仕組みの構築
- 指示６：PDCA サイクルによるサイバーセキュリティ対策の継続的改善
- 指示７：インシデント発生時の緊急対応体制の整備
- 指示８：インシデントによる被害に備えた事業継続・復旧体制の整備
- 指示９：ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握及び対策
- 指示１０：サイバーセキュリティに関する情報の収集、共有及び開示の促進
正式名称だけでは各項目が何を求めているのか掴みにくいため、指示1から指示10までを「つまり何を求めているか」の形でかみ砕くと、次のようになります。
| 指示 | 指示1：対応方針の策定 | 指示2：管理体制の構築 | 指示3：予算・人材の確保 | 指示4：リスクの把握と対応計画 | 指示5：対応する仕組みの構築 | 指示6：PDCAで継続的改善 | 指示7：緊急対応体制の整備 | 指示8：事業継続・復旧体制の整備 | 指示9：サプライチェーン対策 | 指示10：情報の収集・共有・開示 |
|---|---|---|---|---|---|---|---|---|---|---|
| つまり何を求めているか | サイバーリスクを経営リスクととらえ、会社全体の対応方針（セキュリティポリシー）を定めて社外にも宣言する | 関係者の役割と責任を明確にし、既存のガバナンス・内部統制と整合したリスク管理体制をつくる | 残るリスクを許容範囲に抑える対策に必要な予算・人材を確保し、全役職員のセキュリティスキルを育てる | 守るべき情報やデジタル環境を特定して脅威・影響度からリスクを洗い出し、対応計画と残留リスクを見極める | 指示4で把握したリスクに対し、防御・検知・分析の仕組みを構築し、事業環境やリスクの変化に応じて見直す | 対策をPDCAサイクルで回して継続的に改善し、状況を経営者へ定期報告し、改善状況を開示する | インシデント発生時に初動対応や社内外への説明ができる緊急対応体制（CSIRT等）を整え、演習で備える | 被害で業務停止した際にいつまでに何を復旧するかを定め、BCP（事業継続計画）と連携した事業継続・復旧体制を整える | 国内外の拠点や委託先などサプライチェーン全体の対策状況を把握し、契約で役割と責任範囲を明確にする | 攻撃や対策に関する情報を外部と共有・開示し合い、入手した情報を活かせる環境を整える |
※「つまり何を求めているか」は本体PDFの各指示の趣旨・対策例に基づく平易な要約です。正式名称は上記の引用をご確認ください。
本体では、この10項目を5つのまとまりに整理しています。どの指示がどのまとまりに属し、何を求めているのかを一覧にすると、全体像をつかみやすくなります。
| 分類 | リスク管理体制の構築（3.1） | リスクの特定と対策の実装（3.2） | インシデント発生に備えた体制構築（3.3） | サプライチェーンセキュリティ対策の推進（3.4） | 関係者とのコミュニケーションの推進（3.5） |
|---|---|---|---|---|---|
| 該当する指示 | 指示1〜3 | 指示4〜6 | 指示7〜8 | 指示9 | 指示10 |
| 求められていることの要点 | サイバーセキュリティリスクを経営課題と認識して組織全体の対応方針を定め、管理体制と予算・人材を確保する | リスクを把握して対応計画を立て、効果的に対応する仕組みをつくり、PDCAで継続的に改善する | 発生時の緊急対応体制と、被害に備えた事業継続・復旧の体制を整える | ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握と対策を行う | サイバーセキュリティに関する情報の収集・共有・開示を促進する |
※分類と要点は本体の章立てに基づく整理です。各指示の正式名称は上記の引用と本体PDFをご確認ください。
バージョンの変遷とVer3.0での改訂点
検索結果には Ver2.0を前提にした解説も混じっているため、最新版がどれかを押さえておくと混同を避けられます。ここでは、これまでの版の移り変わりと、Ver2.0から Ver3.0で何が見直されたかを整理します。
バージョンの変遷
ガイドラインは2015年に初版が公表され、中間改訂を挟みながら2023年の Ver3.0まで版を重ねてきました。各版の公開時期は次のとおりです。
| バージョン | Ver1.0 | Ver1.1 | Ver2.0 | Ver3.0 |
|---|---|---|---|---|
| 公開時期 | 2015年（平成27年）12月28日 | 2016年に中間改訂 | 2017年（平成29年）11月16日 | 2023年（令和5年）3月24日 |
| 位置づけ | 初版。研究会での検討を経て策定 | Ver1.0の中間改訂 | 3原則・重要10項目の構成を整えた改訂版 | 最新版。基本構成を維持しつつ記載内容を見直し |
Ver1.0と Ver1.1は「サイバーセキュリティリスクと企業経営に関する研究会」で、Ver2.0と Ver3.0は「サイバーセキュリティ経営ガイドライン改訂に関する研究会」で検討されました。現在の経済産業省の案内ページで入手できるのは Ver1.0・Ver2.0・Ver3.0で、実務で参照すべき最新版は Ver3.0です。
出典・参考資料（1件）
Ver2.0からVer3.0への主な改訂点
Ver3.0の改訂方針は、本体の「策定にあたって」で次のように説明されています。3原則と重要10項目の骨格は残したうえで、記載内容を見直したという点が要です。
Ver3.0 の策定にあたっては、Ver2.0 で定めた「経営者が認識すべき３原則」と「サイバーセキュリティ経営の重要１０項目」の基本的な構成を維持しつつ、最新の状況への認識と対策の実践が可能となるよう、記載内容の見直しを行った。
出典：サイバーセキュリティ経営ガイドライン Ver3.0｜経済産業省・IPA
見直しの背景には、テレワークなど働き方の多様化、ランサムウェアによる事業停止へと広がった被害、サプライチェーンを介した被害の拡大、ESG投資を背景としたガバナンスへの関心の高まりがあります。これらを踏まえ、経営者の責務やサプライチェーン全体の対策、情報の収集・共有・開示といった観点の記載が強められました。
重要10項目では、いくつかの指示で表現が整えられています。項目が新設・削除されたわけではなく、同じ骨格のまま文言が見直された点が改訂の性格です。代表的な変化は次のとおりです。
| 指示 | 指示6 | 指示8 | 指示9 | 指示10 |
|---|---|---|---|---|
| Ver2.0の表現 | サイバーセキュリティ対策におけるPDCAサイクルの実施 | インシデントによる被害に備えた復旧体制の整備 | ビジネスパートナーや委託先等を含めたサプライチェーン全体の対策及び状況把握 | 情報共有活動への参加を通じた攻撃情報の入手とその有効活用及び提供 |
| Ver3.0の表現 | PDCA サイクルによるサイバーセキュリティ対策の継続的改善 | インシデントによる被害に備えた事業継続・復旧体制の整備 | ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握及び対策 | サイバーセキュリティに関する情報の収集、共有及び開示の促進 |
※表現が見直された主な指示の例です。Ver3.0の正式名称は上記「重要10項目」の引用をご確認ください。
事業停止への備え（指示8）やサプライチェーン全体の状況把握と対策（指示9）、情報の収集・共有・開示（指示10）といった、Ver2.0公開後に顕在化した課題に沿って言葉が整えられていることが読み取れます。古い版を前提にした解説を参照する際は、この文言の差に注意してください。
出典・参考資料（2件）
ガイドラインを自社でどう使うか
3原則と重要10項目を把握したら、次は自社がどこまで対応できているかを点検する段階です。ガイドラインには、そのための付録や支援ツールが用意されており、いずれも無料で入手できます。ここでは3つの使い方を紹介します。
付録のチェックシートで現状を確認する
本体PDFには「付録A サイバーセキュリティ経営チェックシート」が収録されています。付録A-1が3原則に関するチェック、付録A-2が重要10項目に関するチェックで、経営者によるセルフチェックを想定した構成です。
別ファイルではなく本体PDFに含まれているため、ガイドラインを入手すればそのまま点検に使えます。まずは重要10項目が自社で適切に実施されているかを、この付録で確認するのが出発点になります。
サイバーセキュリティ経営可視化ツール（成熟度モデル）で自社の対応度を測る
より定量的に対応状況を把握したい場合は、IPAが公開する「サイバーセキュリティ経営可視化ツール」が役立ちます。重要10項目の実施状況を段階的に評価し、レーダーチャートで可視化できる無料ツールです。
本ツールは、「サイバーセキュリティ経営ガイドラインVer3.0」で定める重要10項目の実施状況を5段階の成熟モデルで可視化（レーダーチャート表示）できます。企業は自社のサイバーセキュリティ対策状況を定量的に把握することで、サイバーセキュリティに関する方針の策定、適切なセキュリティ投資の実行等が可能となります。
出典：サイバーセキュリティ経営可視化ツール｜IPA
現行はExcel版で、40個の設問に自社の状況に最も近い選択肢を選んでいく形式です。点検の結果を5段階の成熟度として示せるため、経年での変化や、どの項目が弱いかを社内で共有しやすくなります。
出典・参考資料（1件）
IPA「プラクティス集」で重要10項目ごとの手順・事例を確認する
点検で足りない項目が見えたら、その実践のヒントになるのが IPAの「プラクティス集」です。重要10項目を実践する際の考え方・実施手順・事例をまとめた資料で、現行は第4版が公開されています。
重要10項目ごとに参考となる考え方やヒント、担当者の悩みと取り組み事例が整理されており、カテゴリやトピックで絞り込める「プラクティス・ナビ」もあります。原典のチェックシート・可視化ツールと組み合わせれば、理解から実践までを一続きに進められます。
一括ダウンロードする
重要10項目で足りない領域を埋めるには
自己点検で対応が追いついていない領域が見えてきたら、次は仕組みで補う段階です。ここで紹介するサービスが埋めやすいのは、対応方針・規程と証跡の整備（指示1）や、委託先を含むサプライチェーンの状況把握と対策（指示9）です。あわせて、リスクの把握から対応の仕組みづくり・PDCAによる継続的改善（指示4・5・6）、インシデント発生時の対応管理（指示7）といった領域もカバーできます。
これらは、規程やリスクの管理をクラウド上で一元化するGRC（Governance・Risk・Compliance＝統治・リスク・コンプライアンスを統合的に管理する考え方）ツールや、委託先リスク管理に特化したサービスで補える部分があります。
ここでは、重要10項目のどの領域に関わるサービスなのかという観点で、いくつかの選択肢を紹介します。料金は変動するため、導入時は各社の最新情報をご確認ください。
| サービス名 | VendorTrustLink | SecureNavi | KiteRa Biz | Enterprise Risk MT（ERMT） |
|---|---|---|---|---|
| 提供会社 | 株式会社アトミテック | SecureNavi株式会社 | 株式会社KiteRa | 株式会社GRCS |
| タイプ（位置づけ） | 委託先リスク管理（TPRM）特化型 | ISMS/Pマークの 取得・運用の一元管理 | 社内規程管理 （規程の作成・改定・周知） | 全社的リスクマネジメント （ERM） |
| 重要10項目で埋める領域 | 指示9：サプライチェーン全体の 状況把握と対策（委託先管理） | 指示1：対応方針・規程の整備 指示4・5：リスクの把握と対応 | 指示1・5：対応方針・ 規程の整備と維持 | 指示4：リスクの把握と対応計画 指示6：PDCAによる継続的改善 指示7：インシデント管理 |
| 主な機能 | チェックシートの一括配信・ 自動採点・経年比較、委託先の分類、 未回答者への自動リマインド、証跡管理 | 31ステップのガイド、規程・ リスクアセスメント・内部監査記録の整備、 リスクと対策の自動提案 | 設問式の規程作成、約200種の雛形、 新旧対照表の自動作成、改定履歴・承認ログ、 AIによる規程レビュー | リスクアセスメント、対応策のモニタリング、 インシデント報告・分析、リスクマトリックス・ ダッシュボード、リスクカタログ |
| 提供形態／基盤 | クラウド（SaaS） | クラウド（SaaS） | クラウド（SaaS） | クラウド（Salesforce基盤） |
| 詳細情報 | 公式資料を見る | オンライン相談を予約 | サービス詳細を見る | サービス詳細を見る |
1. VendorTrustLink（株式会社アトミテック）
委託先・取引先へのチェックシート審査業務をクラウド上に載せ替える、委託先リスク管理（TPRM）に特化したサービスです。株式会社アトミテックが提供し、重要10項目のうちサプライチェーン全体の状況把握と対策（指示9）を支える位置づけにあたります。
委託業務の重要度や個人情報の取扱区分で委託先を分類し、自社で設計したチェックシートを一括配信して、回答の自動採点・経年比較・未回答者への自動リマインドまでを一連で回せます。送付時期や評価時のコメントがプラットフォームに残るため、委託先管理のプロセスを証跡として残せます。
公式サイトでは、リスクマネジメントの国際ガイドライン「ISO 31000」の考え方に沿って設計・支援すると説明されています（認証取得ではありません）。
料金は委託情報の件数や利用アカウント数に応じた個別見積もりで、初期費用・月額とも公式サイトでは公開されていません。Excelやスプレッドシートでの委託先管理からの移行を検討する企業に向いています。
2. SecureNavi（SecureNavi株式会社）
ISMS認証（ISO/IEC 27001）やPマーク（プライバシーマーク）の取得・運用を一元管理するクラウド型ツールが SecureNaviです。対応方針や規程類の整備（指示1）と、リスクの把握・対応（指示4・5）を仕組みとして回したい企業に関わります。
SecureNavi株式会社が提供し、独自に整理した31ステップのガイドに沿って入力・選択していくことで、規程類・情報資産台帳・リスクアセスメント・内部監査記録などが整う設計です。情報資産を登録すると起こりうるリスクと対応方法が自動提案され、規程の管理や内部監査、更新審査への対応まで一つのプラットフォームで扱えます。
専任のセキュリティ担当者を置きにくい企業でも、コンサルに依存せず取得・運用を進められます。
料金は公式サイトで金額が公開されておらず、個別の見積りとなります。導入を検討する場合は、オンライン相談から始められます。
3. KiteRa Biz（株式会社KiteRa）
株式会社KiteRaが提供する KiteRa Bizは、セキュリティポリシーや社内規程などの文書を作成・改定・周知し、改定履歴を証跡としてクラウドで管理できる社内規程管理サービスです。対応方針・規程の整備（指示1・5）を文書管理の面から支え、就業規則など規程全般も同じ仕組みで最新の状態に保てます。
設問に答える形での規程作成や約200種類の雛形、新旧対照表の自動作成に対応し、編集者・編集日時を含む改定履歴や承認のログをクラウド上で管理できます。規程以外のポリシー・ガイドライン・手順書を扱う「公式文書」アプリや、法改正・条文の欠落をAIがチェックする機能もあり、グループ会社をまたいだ規程管理にも使われています。
公式サイトでは料金・プラン区分が非公開で要問い合わせです。無料のお試しも案内されているため、自社の規程量に合うかを試したうえで判断できます。
4. Enterprise Risk MT（ERMT）（株式会社GRCS）
全社的なリスクマネジメントを対象とするクラウドツールが、株式会社GRCSの Enterprise Risk MT（ERMT）です。リスクの把握と対応計画（指示4）、PDCAによる継続的改善（指示6）、インシデント管理（指示7）といった、リスクを回し続ける領域に関わります。
公式サイトでは、リスクマネジメントの国際ガイドライン「ISO 31000:2018」に準拠したERM（全社的リスク管理）基盤として説明されています。リスクの特定・分析・評価を行うリスクアセスメント機能、対応策の実施状況のモニタリング、インシデントをオンラインで報告・分析する機能、リスクマトリックスやダッシュボードによる可視化を備えます。
自組織で想定されるリスクを「リスクカタログ」として準備し、各部門で複製して実情に合わせて使えます。
情報セキュリティ（ISMS）に限らない経営リスク全般を扱うツールで、規程管理や資産台帳まで一気通貫でカバーするものではない点は押さえておきたいところです。料金はスモールスタート可能なライセンスモデルとされ、具体額は公式には記載がありません。
ここで取り上げたのは、重要10項目の各領域に対応するサービスの一例です。これ以外にもGRCツールは幅広くあり、選び方や機能の違い、料金の考え方まで含めて全体を比較したい場合は、以下の記事で詳しく解説しています。
まとめ
サイバーセキュリティ経営ガイドラインは、経済産業省とIPAが策定した経営者向けの指針で、最新版は2023年3月公開の Ver3.0です。対象は大企業および中小企業（小規模事業者を除く）の経営者で、経営者が認識すべき3原則と、担当幹部に指示すべき重要10項目を軸にしています。
本体PDFは無料で入手でき、3原則・重要10項目の正式名称や付録のチェックシートもそこに収められています。まずは本体と付録A、IPAの可視化ツールやプラクティス集で、自社が重要10項目のどこまで対応できているかを点検するのが実務の第一歩です。
点検で足りない領域が見えたら、規程・リスクの管理や委託先リスク管理を仕組みで補う選択肢があります。各サービスの対応領域や料金は、下記から資料をまとめて取り寄せて比較してみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. サイバーセキュリティ経営ガイドラインとは何ですか？
A. サイバーセキュリティ経営ガイドラインとは、経済産業省とIPA（情報処理推進機構）が策定した、経営者がリーダーシップをとってサイバーセキュリティ対策を進めるための指針です。最新版は2023年3月公開のVer3.0で、経営者が認識すべき「3原則」と、担当幹部（CISO等）に指示すべき「重要10項目」を軸に構成されています。
Q. サイバーセキュリティ経営ガイドラインの最新版はどのバージョンですか？
A. サイバーセキュリティ経営ガイドラインの最新版は、2023年（令和5年）3月24日に公開されたVer3.0です。検索結果にはVer2.0を前提にした解説も混在しているため、参照する資料が示す重要10項目の文言がVer3.0のものかを確認すると、古い版との混同を避けられます。
Q. サイバーセキュリティ経営ガイドラインに従うことは法律上の義務ですか？
A. サイバーセキュリティ経営ガイドラインは法律ではなく、罰則を伴う義務ではありません。ただし、経営者が取るべき対策を示した公的な指針です。取引先や親会社からセキュリティ体制の説明を求められる際の事実上の基準として使われることも多く、内容に沿って対策を整えておく実務上の意味は大きいといえます。
Q. 中小企業もサイバーセキュリティ経営ガイドラインの対象ですか？
A. 中小企業は対象に含まれ、小規模事業者は対象から除かれます。小規模事業者とは中小企業基本法でおおむね従業員20人以下（商業・サービス業は5人以下）の事業者を指すため、従業員数がこの規模を超える中小企業であれば対象と考えてよいでしょう。
Q. 3原則・重要10項目の全文やガイドライン本体はどこで無料で読めますか？
A. ガイドライン本体のPDFは、経済産業省の案内ページから会員登録なしで無料で入手できます。3原則・重要10項目の正式な文言や付録のチェックシートもこの本体PDFに収められており、重要10項目の実践事例をまとめたIPAの「プラクティス集」も無料で公開されています。
Q. サイバーセキュリティ経営可視化ツールやプラクティス集とは何ですか？
A. どちらもIPAが無料で公開する支援ツールで、可視化ツールは重要10項目の実施状況を5段階の成熟度モデルでレーダーチャート表示するExcel形式の自己診断ツール、プラクティス集は重要10項目ごとの考え方・実施手順・取り組み事例をまとめた資料です。可視化ツールで自社の弱い項目を把握し、プラクティス集でその実践のヒントを得る、という組み合わせで使えます。
Q. サイバーセキュリティ経営ガイドラインはISMSやNISTサイバーセキュリティフレームワークとどう違いますか？
A. サイバーセキュリティ経営ガイドラインは、経営者が取るべき姿勢と指示事項を示した日本の指針です。具体的な管理策の認証規格であるISMS（ISO/IEC 27001）や、米国NISTが整理したサイバーセキュリティフレームワークとは役割が異なります。
ガイドラインで経営の方針と体制を定め、ISMSやNISTのフレームワークといった枠組みで個別の管理策を実装・運用する、という補完関係で捉えると整理しやすくなります。
サイバーセキュリティ経営の体制づくりに役立つサービスの資料を一括チェック
MCB FinTechカタログでは、重要10項目で足りない領域を埋めるGRCツールや委託先リスク管理サービスの最新資料を無料で一括請求できます。規程・証跡管理から委託先管理まで、対応領域や料金をまとめて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
