問題 No.4170
CEO（最高経営責任者）が担う情報セキュリティに関する役割や責任として不適切なものはどれか。
【正解の解説】
情報セキュリティに関するすべての技術的な脆弱性の特定や、パッチ適用の作業を自ら実行し管理する。
会社全体の舵取りを行う最高経営責任者（CEO）が、自らパソコンのパッチ当てや脆弱性スキャンといった現場の細かい作業を行うことはありません。例えるなら、巨大客船の船長がエンジンのボルトを一本ずつ自分で締めているようなものであり、CEOの本来の仕事は予算や人員というリソースを配分し、組織全体のセキュリティ方針を決定することです。
スポンサーリンク
【その他の選択肢の解説】
情報セキュリティに関する全社的な方針を承認し、経営戦略と整合性を持たせた上で必要なリソースを配分する。
試験では経営層の役割として正解となる選択肢です。CEOは直接コードを書いたりしませんが、「セキュリティ対策に今年の予算をこれだけ使う」という最終決定や全社方針の承認を下すことは、最高経営責任者にしかできない極めて重要な責任となります。
組織全体における重大なセキュリティインシデントが発生した際に、対外発表や経営判断の最終決定を下す。
万が一、会社の大切な顧客データが流出するような重大事故が起きた場合、現場の担当者では謝罪や社会的な責任を取る判断ができません。会社のトップであるCEOが矢面に立って記者会見を開き、事業継続や補償の最終判断を下すことが求められます。
情報セキュリティ委員会を設置し、ガバナンス体制を構築した上で各部門の取り組み状況を定期的に監督する。
CEOはプレイヤーではなく監督者です。自らセキュリティ対策を行うのではなく、社内に専門の委員会を作らせて組織的な体制を整え、各部門がちゃんとセキュリティを守っているかを上から定期的にチェックする仕組みを作るのがCEOの正しい仕事のあり方です。