問54
頻出度★★★
企業の情報セキュリティポリシの策定及び運用に関する記述のうち，適切なものはどれか。
平成21年度 春期 ITパスポート試験 問54
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 54情報セキュリティポリシは三層構造
不正解ア
セキュリティ対策ソフトウェアに設定すべき具体的な内容は、ポリシ体系の最下層である「実施手順」で定めるもの。ポリシ (基本方針・対策基準) は特定の製品や技術に依存しない形で「何を守るか」「どうあるべきか」を示す層なので、個別ソフトの設定値定義をポリシ策定の要件とするのは不適切である。
- イ
正解 正解は イ。情報セキュリティポリシは技術者だけで作る技術文書ではなく、「わが社は情報資産をこう守る」という経営の意思表明である。したがって、経営トップ (経営者) 自らが会社の考え方や取組み方を社員に説明し、率先して浸透を推進することが策定・運用の大前提になる。トップが本気であることが伝わらなければ、どれほど立派なポリシを文書化しても現場は自分事として守らず、形骸化してしまう。JIS Q 27001 などのマネジメントシステムでも、経営陣のコミットメント (関与と責任表明) と全従業員への周知が必須要件とされている点を押さえたい。
不正解ウ
「遵守すべき行為及び判断の基準」は三層構造の中段にあたる対策基準 (スタンダード) のこと。策定は上位から下位へ進めるのが原則で、最初に定めるのは経営トップによる基本方針 (なぜ・何を守るのかという方針表明) である。順序が逆になっているため誤り。
不正解エ
導入する製品の決定は、方針と基準を定めた後に行う具体的な実装段階 (実施手順) の作業である。製品ありきでポリシを組み立てると、経営目標ではなくベンダの都合に引きずられる。ポリシの策定及び運用に関する記述としては的外れで、不適切である。
ここがポイント
- 情報セキュリティポリシは三層構造。上から順に、基本方針 (経営者の意思表明。なぜ・何を守るか) → 対策基準 (遵守すべき行為及び判断の基準) → 実施手順 (具体的な設定値・作業手順)。策定は必ず上位層から下位層へ進める。
- ポリシの成否を決めるのは経営トップのコミットメント。トップが率先して考え方を説明し全社に周知することが必須要件であり、製品選定や個別ソフトの設定はポリシそのものではなく実施手順の領域である。
用語