問76
頻出度★★★
情報セキュリティポリシに関する考え方のうち, 適切なものはどれか。
平成22年度 秋期 ITパスポート試験 問76
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 76
不正解ア
対策費用を全情報資産で同一にするのは不適切。情報セキュリティ対策は、情報資産の重要度（漏えい・改ざん・停止したときの損害の大きさ）とリスクの大きさに見合った費用をかけるのが原則である。公開済みの広報資料と、顧客の個人情報や決算前の財務データとでは守るべき価値がまったく違う。すべてに同額をかけると、重要な資産は守り足りず、重要でない資産には過剰投資となり、費用対効果が悪化する。
不正解イ
情報セキュリティ基本方針を幹部だけに開示するのは不適切。基本方針は、経営者が組織としてのセキュリティへの取組み姿勢を宣言する最上位文書であり、全従業者に周知して初めて行動の拠りどころになる。さらに、取引先や顧客に対して信頼性を示すため、ウェブサイトなどで社外に公開することも一般的である。秘匿すべきなのは、具体的な設定値や手順が書かれた下位の対策基準・実施手順であって、基本方針ではない。
- ウ
正解 正解はウ。情報セキュリティポリシは、組織が守るべき情報資産と、その守り方を定めた組織全体のルールである。ルールが効くかどうかは「一番弱いところ」で決まるため、情報資産や情報システムに触れる可能性のある人すべてを適用対象にしなければならない。正社員だけを対象にしてパート・アルバイト・派遣社員・契約社員を外すと、その人たちが扱う顧客情報や端末が管理の外に置かれ、そこが情報漏えいの穴になる。よって適用対象は社員に限らず、パートなども含めた全従業者とすべきであり、ウが適切である。
不正解エ
同業他社のポリシをできるだけそのまま流用するのは不適切。ポリシは、自組織が保有する情報資産の洗い出しとリスク分析の結果に基づいて策定するものであり、事業内容・組織規模・システム構成・法規制の適用範囲は会社ごとに異なる。他社の文書をそのまま使うと、自社に存在しないルールが混ざる一方で自社固有のリスクが抜け落ち、現場が守れない形骸化した文書になる。他社事例は構成の参考にとどめ、内容は自組織のリスクアセスメント結果に合わせて作り込む必要がある。
ここがポイント
- 情報セキュリティポリシの適用対象は、雇用形態を問わず組織の情報資産に触れる全従業者（社員・パート・アルバイト・派遣・契約社員など）であり、必要に応じて委託先も含める。ルールは最も弱い箇所から破られるため、対象から漏れた人が抜け穴になる。
- ポリシは階層構造をもつ。最上位の「情報セキュリティ基本方針」は経営者の宣言であり全従業者へ周知・社外公開もする文書、その下の「対策基準」「実施手順」がより具体的で、扱いを限定すべき文書。また対策費用は情報資産の重要度とリスクに応じて配分し、内容は自組織のリスクアセスメントに基づいて策定する。
用語