サイバーセキュリティ経営ガイドラインとは、経済産業省とIPA（情報処理推進機構）が策定したもので、企業の経営者向けにサイバーセキュリティへのリーダシップとして取るべき対策を示したものです。
具体的には、経営者が認識する必要のある「３原則」、及び経営者がCISO等の情報セキュリティ対策の責任者に指示すべき「重要10項目」がまとめられています。
経営者は、サイバーセキュリティリスクを認識し、リーダーシップによって対策を進めることが必要
自社は勿論のこと、ビジネスパートナーや委託先も含めたサプライチェーンに対するセキュリティ対策が必要
平時及び緊急時のいずれにおいても、サイバーセキュリティリスクや対策に係る情報開示など、関係者との適切なコミュニケーションが必要
指示１ サイバーセキュリティリスクの認識、組織全体での対応方針の策定
指示２ サイバーセキュリティリスク管理体制の構築
指示３ サイバーセキュリティ対策のための資源（予算、人材等）確保
指示４ サイバーセキュリティリスクの把握とリスク対応に関する計画の策定
指示５ サイバーセキュリティリスクに対応するための仕組みの構築
指示６ サイバーセキュリティ対策における PDCA サイクルの実施
指示７ インシデント発生時の緊急対応体制の整備
指示８ インシデントによる被害に備えた復旧体制の整備
指示９ ビジネスパートナーや委託先等を含めたサプライチェーン全体の対策及び状況把握
指示１０ 情報共有活動への参加を通じた攻撃情報の入手とその有効活用及び提供
平成29年度 春期 情報セキュリティマネジメント試験 午前
ウ 自社のサプライチェーンのビジネスパートナーが行うセキュリティ対策
これが正解です。
経営者が認識する必要のある「３原則」に、「自社は勿論のこと、ビジネスパートナーや委託先も含めたサプライチェーンに対するセキュリティ対策が必要」とあります。