何が変わったか
Ver3.0の公開
経済産業省は、2023年3月に「サイバーセキュリティ経営ガイドライン Ver3.0」を公開しました。
改訂の背景
経済産業省のページは、改訂の背景として次の事情を挙げています。
- サイバー攻撃が多様化・巧妙化していること
- サプライチェーンを介した被害の拡大を踏まえ、サプライチェーン全体を通じた対策の推進の必要性が高まっていること
- 組織幹部が自らの役割を認識した上で、リーダーシップを発揮し、更なる対策の強化や適切な対応などが求められていること
こうした情勢を踏まえ、有識者や関係者を交えた研究会で検討して改訂したと説明しています。付録も、ガイドラインの改訂にあわせて更新されています。
ガイドラインの骨組み
ガイドラインは、経営者が認識する必要のある「3原則」と、担当幹部（CISO等）に指示すべき「重要10項目」をまとめています。担当幹部は、情報セキュリティ対策を実施する上での責任者と位置づけられています。
想定する読み手
対象は、大企業及び中小企業（小規模事業者を除く）のうち、ITに関するシステムやサービス等を供給する企業と、経営戦略上ITの利活用が不可欠である企業の経営者です。経営者のリーダーシップの下で対策を推進することが目的とされています。
会社が備えること
経営者の判断として扱う
策定の背景には、ITへの投資やセキュリティへの投資をどの程度行うかなど、経営者による判断が必要になっているという認識があります。ガイドラインは、経営者から担当幹部への指示という形で項目を整理しています。
経営者から担当幹部への指示
付録と関連ツール
- 付録C：サイバーセキュリティインシデントに備えるための参考情報です（2023年3月公開）。
- 付録F：体制構築・人材確保の手引き 第2.0版です。指示2・3に関連する検討の参考とされています。
- プラクティス集：IPAが、重要10項目を実践する際の考え方や実施手順を、国内の実践事例を基にまとめています。第4版が公開されました。
- サイバーセキュリティ経営可視化ツール：IPAが公開する、実践状況をセルフチェックで可視化するツールです。
経済産業省は、可視化ツールを状況把握や社内外の関係者とのコミュニケーション等に活用することで、方針の策定や適切なセキュリティ投資計画の策定等が可能になると説明しています。
実践状況をセルフチェック
中小企業の場合
IPAは「中小企業の情報セキュリティ対策ガイドライン」を公開しています。経済産業省のページによれば、その経営者編は、サイバーセキュリティ経営ガイドラインの内容を中小企業向けに編集して解説したものです。IPAのガイドラインは、個人事業主、小規模事業者を含む中小企業等の利用を想定しており、2026年3月27日に第4.0版が公開されました。内容は中小企業の情報セキュリティ対策ガイドライン（IPA・第4.0版）で紹介しています。
注意点
版と公開日を確かめる
経済産業省は、付録についても今後の改訂の必要性に応じて適宜更新するとしています。参照するときは、経済産業省のページで最新版と旧版の区別を確認します。
項目の中身は原文で読む
3原則と重要10項目の具体的な文言は、経済産業省が公開するPDFの本文に記載されています。社内の方針や体制を見直すときは、原文の記述を確認することが前提です。