問56
頻出度★★★
情報セキュリティポリシに関する記述のうち, 適切なものはどれか。
平成21年度 秋期 ITパスポート試験 問56
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 56
不正解ア
セキュリティポリシは企業が自主的に定める内部規程であり、会社法が株主総会の承認を求める事項ではない。通常は経営者（経営層）の承認・宣言によって制定・周知される。
不正解イ
ポリシは組織全体に一貫して適用される方針・基準であり、システムごとにばらばらに定めるものではない。個別システム向けに書き分けるのは、ポリシの下位に置かれる実施手順やシステム運用規程のレベルである。
不正解ウ
自組織の脆弱性は攻撃者にとって格好の情報であり、対外公表は逆にリスクを高める。ポリシ策定時に把握した脆弱性は社内で厳重に管理し、対策に用いるべき情報であって、公表義務はない。
- エ
正解 情報セキュリティポリシとは、組織が「どの水準まで情報資産を守るか」という目標を定め、それを実現するために構成員が守るべき行為の基準と、判断に迷ったときのよりどころ（考え方）を明文化したものである。一般に、経営者が方針を示す「情報セキュリティ基本方針」、守るべき水準を定める「対策基準」、具体的な手順を書く「実施手順」という階層で構成される。エ はこの本質、すなわち「目標とするセキュリティレベル達成のために、遵守すべき行為及び判断の考え方を明確にする」ことを正しく述べているので適切である。
ここがポイント
- 情報セキュリティポリシ＝目標とするセキュリティレベルと、それを守るために遵守すべき行為・判断基準を明文化した組織全体の文書（基本方針／対策基準／実施手順の階層）。
- ポリシは経営者が承認する内部規程であり、株主総会の承認や脆弱性の対外公表といった要件はなく、システム単位ではなく組織横断で定める。
用語