問61
頻出度★★★
情報セキュリティの文書を詳細化の順に上から並べた場合，①～③に当てはまる用語の組合せとして，適切なものはどれか。 上から下へ3段に分かれた三角形（ピラミッド）があり，上段が①，中段が②，下段が③である。
平成22年度 春期 ITパスポート試験 問61
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 61
不正解ア
①は基本方針で正しいが、②と③が入れ替わっている。実施手順は対策基準で定めたルールを現場で実行するための具体的な手順書であり、対策基準より詳細な最下層の文書である。実施手順を中段、対策基準を下段に置くと、詳細な文書の下にそれより抽象的な文書がぶら下がることになり、上ほど抽象・下ほど詳細というピラミッドの向きに反する。
- イ
正解 正解は「イ ①基本方針 ②対策基準 ③実施手順」。情報セキュリティポリシーは一般に3階層のピラミッドで表され、上に行くほど抽象的・全社的、下に行くほど具体的・詳細になる。最上位の①「基本方針（情報セキュリティ基本方針）」は、なぜ情報セキュリティに取り組むのか、経営者としてどういう姿勢で臨むのかを宣言する文書で、対象範囲や責任者を示すだけで個々のやり方までは書かない。中位の②「対策基準」は、その基本方針を実現するために守るべきルールを分野ごとに定めたもので、たとえばパスワードは何文字以上にする、外部記憶媒体の持ち出しは許可制にする、といった「何をどの水準で守るか」を規定する。最下位の③「実施手順」は、対策基準を現場で実行するための具体的な作業手順書やマニュアルであり、どの画面でどう操作するか、誰にどう申請するかまで細かく書かれる。設問は「詳細化の順に上から並べた場合」と指定しているので、抽象度の高い基本方針が①、次に対策基準が②、最も詳細な実施手順が③となり、この並びを持つ組合せは「イ」だけである。
不正解ウ
最上位に対策基準、その下に基本方針を置いている点が誤り。基本方針は経営者が組織全体の姿勢を宣言する最上位文書で、対策基準はその基本方針を受けて具体的なルールに落とし込んだ下位文書である。上位と下位が逆転しており、基本方針が対策基準に従うという本来あり得ない関係になってしまう。
不正解エ
3層すべての順序が誤っている。最も抽象度が高く他の文書のよりどころとなる基本方針を最下層に置き、最も詳細な実施手順を中段に置いているため、詳細化の順とは逆どころか階層関係そのものが崩れている。基本方針は他の2文書の前提となる最上位文書でなければならない。
ここがポイント
- 情報セキュリティポリシーは「基本方針（Why・組織としての宣言）→ 対策基準（What・守るべきルールや水準）→ 実施手順（How・具体的な作業手順やマニュアル）」の3階層で構成され、上位ほど抽象的かつ変更頻度が低く、下位ほど詳細で現場の変化に応じて改訂される。狭義の情報セキュリティポリシーは上の2層（基本方針＋対策基準）を指し、実施手順は含めないことも押さえておくとよい。
- 階層文書の並べ方を問う問題では、まず設問が「詳細化の順」なのか「抽象度の高い順」なのかを確認し、ピラミッド図の上が抽象・下が詳細という原則に当てはめる。各層の文書が誰に向けて書かれるか（基本方針＝経営者から全社への宣言、対策基準＝管理者向けの規程、実施手順＝担当者向けの手順書）を対応づけて覚えると、順序を取り違えにくい。
用語