---
title: "サイバーセキュリティ経営ガイドラインの要点。経営者がすること｜アメリア・テクノロジー株式会社"
url: https://www.ameliatechnology.co.jp/blog/cyber-security-management-guideline/
description: "経済産業省とIPAのサイバーセキュリティ経営ガイドラインVer3.0は、経営者が認識する3原則と、担当の幹部に指示する重要10項目で構成されています。項目の意味と、経営者が自ら決めること、報告を受けて確かめることを整理します。"
updated: 2026-11-12
publisher: "アメリア・テクノロジー株式会社"
---
# サイバーセキュリティ経営ガイドラインの要点。経営者がすること

経済産業省とIPAのサイバーセキュリティ経営ガイドラインVer3.0は、経営者が認識する3原則と、担当の幹部に指示する重要10項目で構成されています。項目の意味と、経営者が自ら決めること、報告を受けて確かめることを整理します。

2026.11.12 [経営とDX](https://www.ameliatechnology.co.jp/blog/category/management/)

執筆 [嵐保憲](https://www.ameliatechnology.co.jp/blog/author/arashi/)（代表取締役CEO）

経営とDX（MANAGEMENT）のコラム

## この記事の要点

- サイバーセキュリティ経営ガイドラインは、経営者が認識する3原則と、セキュリティ対策を担う幹部に指示すべき重要10項目で構成されています。
- 3原則は、経営の課題として経営者が自ら進めること、取引先や委託先を含めたサプライチェーン全体に目を配ること、平時から関係者と意思疎通することです。
- 経営者が自ら決めるのは方針・体制・予算と人材で、計画・仕組み・事故への備え・取引先への対策は、報告を受けて進み具合を確かめます。

サイバーセキュリティ経営ガイドラインとは、経済産業省とIPA（独立行政法人情報処理推進機構）が、サイバー攻撃から会社を守るために経営者が果たす役割をまとめた指針です。2023年3月のVer3.0では、経営者が認識する「3原則」と、対策を担う幹部（CISOなど）に指示すべき「重要10項目」で構成されています。経営者がすることは、技術の細部を自ら扱うことではなく、方針と体制と資源を決め、報告を受けて進み具合を確かめることだと整理できます。

## ガイドラインは、誰のための文書か

サイバーセキュリティ経営ガイドラインは、経営者のための文書です。対策の手順書ではなく、経営者が何を認識し、担当の幹部に何を指示し、何を確かめるべきかを示しています。Ver1.0は2015年、Ver2.0は2017年に公表され、Ver3.0は2023年3月に公表されました。

Ver3.0では、Ver2.0の3原則と重要10項目という基本の構成は保ったまま、テレワークなど働き方の多様化、制御系を含むデジタル基盤への対象の広がり、ランサムウェアによる事業停止のリスクの顕在化、サプライチェーンを通じた被害の拡大などの環境の変化を反映して、記載が見直されました。

出典：[「サイバーセキュリティ経営ガイドライン Ver 3.0」の改訂ポイント（経済産業省、2023年3月24日）](https://www.meti.go.jp/press/2022/03/20230324002/20230324002-1.pdf)

経営者向けの文書ではありますが、中小企業の方がはじめて取り組む場合は、IPAの「中小企業の情報セキュリティ対策ガイドライン」から入るほうが手を付けやすいことが多いです。その使い方は[「中小企業の情報セキュリティ対策ガイドライン」の使い方](https://www.ameliatechnology.co.jp/blog/ipa-smb-security-guideline/)で説明しています。

## 経営者が認識する3原則とは

3原則とは、経営者がサイバーセキュリティに向き合うときの前提となる、3つの考え方です。経済産業省の改訂ポイントの資料によると、要旨は次のとおりです。

1. サイバーセキュリティのリスクを経営リスクの重要な課題と位置づけ、経営者がリーダーシップをとって対策を進める
2. 自社だけでなく、国内外の拠点、取引先、委託先、クラウドサービスなどを含めたサプライチェーン全体に目を配る
3. 平時と緊急時のいずれにおいても、効果的な対策のために、社内外の関係者と積極的にコミュニケーションをとる

1つ目は、セキュリティを情報システム部門の仕事として任せきりにせず、経営の判断の対象として扱うということです。2つ目は、取引先や委託先が攻撃の入口になる例が増えていることを受けたものです。取引先を経由する攻撃への備えは、[サプライチェーンのセキュリティ。取引先を経由する攻撃への備え](https://www.ameliatechnology.co.jp/blog/supply-chain-security/)で扱っています。3つ目は、事故が起きてから慌てて連絡先を探すのではなく、平時から相談の相手と連絡の経路を決めておくことを指しています。

## 重要10項目には、何が書かれているか

重要10項目とは、経営者が、セキュリティ対策を担う幹部に指示すべき事項を10にまとめたものです。項目の名前は次のとおりです。

| 番号 | 項目 |
|---|---|
| 指示1 | サイバーセキュリティリスクの認識、組織全体での対応方針の策定 |
| 指示2 | サイバーセキュリティリスク管理体制の構築 |
| 指示3 | サイバーセキュリティ対策のための資源（予算、人材等）確保 |
| 指示4 | サイバーセキュリティリスクの把握とリスク対応に関する計画の策定 |
| 指示5 | サイバーセキュリティリスクに効果的に対応する仕組みの構築 |
| 指示6 | PDCAサイクルによるサイバーセキュリティ対策の継続的改善 |
| 指示7 | インシデント発生時の緊急対応体制の整備 |
| 指示8 | インシデントによる被害に備えた事業継続・復旧体制の整備 |
| 指示9 | ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握及び対策 |
| 指示10 | サイバーセキュリティに関する情報の収集、共有及び開示の促進 |

出典：[「サイバーセキュリティ経営ガイドライン Ver 3.0」の改訂ポイント（経済産業省、2023年3月24日）](https://www.meti.go.jp/press/2022/03/20230324002/20230324002-1.pdf)

10の項目は、まとまりで見ると理解しやすくなります。指示1〜3は方針・体制・資源という土台づくり、指示4〜6はリスクの把握と対策の仕組み、それを回し続けること、指示7・8は事故が起きたときの対応と事業の継続、指示9・10は取引先と社外との関係です。

## 経営者は、何を自ら決めるのか

経営者が自ら決めることは、方針、体制、予算と人材の3つです。重要10項目の指示1〜3に当たります。

- **方針**：どの情報とどの業務を守るのか、どこまでのリスクなら受け入れるのかを、経営の言葉で示します
- **体制**：誰がセキュリティの責任者なのか、経営会議や取締役会にどの経路で報告が上がるのかを決めます。専任の担当を置けない会社では、兼務の責任者と、外部の専門家の使い方を決めておく形もあります
- **予算と人材**：対策と運用に必要な費用と人を、計画に見合う形で確保します

この3つは、担当の幹部の判断だけでは決めにくいものです。予算と人員が足りないまま「対策を進めておくように」と指示しても、進まないことが多いと考えられます。

## 経営者は、何を報告で確かめるのか

指示4〜10は、担当の幹部が進め、経営者は報告を受けて確かめる領域です。報告の場で問いかけたいことの例を挙げます。

- リスクの把握と計画（指示4）：守るべき情報と止められない業務の一覧はあるか。優先して手当てするものは決まっているか
- 仕組みと改善（指示5・6）：計画した対策は進んでいるか。前回の報告から何が変わったか
- 事故への対応（指示7）：事故が起きたときの連絡と判断の手順はあるか。訓練したことはあるか（[セキュリティ事故に備える、初動の手順書のつくり方](https://www.ameliatechnology.co.jp/blog/incident-response-plan/)）
- 事業の継続（指示8）：システムが止まったときに、業務をどう続け、どのくらいで戻すかを決めているか（[ITのBCP。システムが止まっても業務を続けるために](https://www.ameliatechnology.co.jp/blog/it-bcp-planning/)）
- サプライチェーン（指示9）：重要な委託先と取引先を把握し、管理の状態を確かめているか
- 情報の共有と開示（指示10）：社外の情報をどこから集めているか。事故のときに誰に何を伝えるかは決まっているか

報告の形は、技術の用語の羅列ではなく、「どのリスクに対して、何が済んでいて、何が残っているか、いつまでに何をするか」が分かる一覧にしてもらうと、判断しやすくなります。取締役会や監査役の立場から確かめたい問いは、[取締役会・監査役が確かめたいITのリスク](https://www.ameliatechnology.co.jp/blog/board-it-risk-oversight/)で整理しています。

## 実践するときの参考になる資料は

ガイドラインを実際の取り組みに落とし込むときは、IPAの「サイバーセキュリティ経営ガイドライン Ver 3.0 実践のためのプラクティス集」が参考になります。第4版は2023年10月31日に公開され、経営層向けの教育、可視化ツールによるリスクの把握、委託の範囲の明確化、インシデント対応の演習などの取り組み方が加えられています。

出典：[サイバーセキュリティ経営ガイドライン Ver 3.0 実践のためのプラクティス集第4版改訂履歴（IPA）](https://www.ipa.go.jp/security/economics/hjuojm00000044dc-att/change_log_v4.pdf)

すべての項目を一度に整える必要はありません。土台の指示1〜3を決めたうえで、事故への対応と事業の継続（指示7・8）を先に固め、そのほかを年ごとの計画で進める会社が多いと考えられます。

## 当社のご支援

アメリア・テクノロジーの[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)では、現状の洗い出しから、方針・規程・体制の整備、事故が起きたときの連絡と手順の準備、社員の訓練までをご支援しています。取締役会への報告などを目的に、管理の状態を第三者の立場で確かめたい場合は、[システム監査](https://www.ameliatechnology.co.jp/service/system-audit/)もお受けしています。何から手を付けるかを整理したい段階では、無料の[セキュリティの自己診断](https://www.ameliatechnology.co.jp/diagnosis/security/)や、30分の無料のご相談（[お問い合わせ](https://www.ameliatechnology.co.jp/contact/)）をお使いください。

- サイバーセキュリティ
- 経営
- ITガバナンス
- 経済産業省

## この記事に出てくる用語

- [情報セキュリティ](https://www.ameliatechnology.co.jp/glossary/information-security/)
- [CISO（情報セキュリティの統括責任者）](https://www.ameliatechnology.co.jp/glossary/ciso/)
- [ランサムウェア](https://www.ameliatechnology.co.jp/glossary/ransomware/)
- [事業継続計画（BCP）](https://www.ameliatechnology.co.jp/glossary/bcp/)
- [インシデント対応](https://www.ameliatechnology.co.jp/glossary/incident-response/)

## 関連する法令・指針（参考情報）

- 指針
   経済産業省・独立行政法人情報処理推進機構（IPA）「サイバーセキュリティ経営ガイドライン」（Ver 3.0（2023年3月））
   大企業と中小企業（小規模事業者を除く）の経営者を対象に、経営者が認識する必要がある3原則と、担当の幹部（CISO など）に指示すべき重要10項目をまとめたガイドラインです。
   [発行元の公式ページで開く](https://www.meti.go.jp/policy/netsecurity/downloadfiles/guide_v3.0.pdf)

法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。

この記事を書いた人

[嵐保憲](https://www.ameliatechnology.co.jp/blog/author/arashi/) 代表取締役CEO

複数の会社の経営に携わり、事業の立ち上げから譲渡・譲受までを経営者の立場で経験してきました。現在は、アメリア・テクノロジーとフロレンティナの代表取締役として、経営の目標から逆算したAIとシステムへの投資を進めています。

このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。

## あわせて読みたい

- [移行期間のサービス契約（TSA）とは。決めておくこと](https://www.ameliatechnology.co.jp/blog/tsa-transition-service-agreement/)
- [システムの総費用（TCO）はどう見積もるか](https://www.ameliatechnology.co.jp/blog/system-tco-estimate/)
- [サプライチェーンのセキュリティ。取引先を経由する攻撃への備え](https://www.ameliatechnology.co.jp/blog/supply-chain-security/)

[経営とDXのコラムを見る](https://www.ameliatechnology.co.jp/blog/category/management/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/)

## 次の一歩

### 取り組む順番を決める

AI活用の診断では、現場のお話をうかがい、2〜4週間で優先順位と計画をまとめます。

[AI活用の診断を見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis)

### M&Aの前後のシステムを整える

フロレンティナと一体で、譲渡の前の磨き上げと、譲受の後のシステム統合を進めます。

[M&Aの前後の支援を見る](https://www.ameliatechnology.co.jp/group/#packages)

## ご関心に合わせて、お選びください。

[情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis)

---

出典：アメリア・テクノロジー株式会社「サイバーセキュリティ経営ガイドラインの要点。経営者がすること｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/cyber-security-management-guideline/