正答3
解説
正解は3です。
経済産業省とIPAの「サイバーセキュリティ経営ガイドライン」では、サイバーセキュリティ対策は経営者が主導すべきものとされています。
担当者や外部に任せきりにせず、経営者がリーダーシップを発揮することが求められます。
【選択肢別解説】
1：× IT部門の担当者に、方針の策定から実行まですべて任せるのは不適切です。
全社的なリスク対応方針は、経営者が関与して決める必要があります。
2：× CISO（Chief Information Security Officer：最高情報セキュリティ責任者）を任命すること自体は適切です。
しかし、実行や判断をすべて任せると、経営者が責任を果たしていないことになります。
3：○ 経営者が自ら実施方針を検討し、予算や人材を割り当て、実施状況を確認して問題に対応します。
これは、経営者がリーダーシップを発揮して対策を推進する姿であり、最も適切です。
4：× 外部のコンサルタントに分析を依頼することはできますが、権限と責任まで委譲するのは不適切です。
リスク対策の責任は、経営者が負うべきものです。
【ポイント】
サイバーセキュリティは経営リスクの一つであり、経営者が責任をもって取り組むべき課題です。
作業は委任できても、責任は経営者に残るという考え方はITガバナンスと共通しています。