問71
頻出度★★★
情報セキュリティにおけるリスクマネジメントに関する記述のうち, 最も適切なものはどれか。
平成25年度 春期 ITパスポート試験 問71
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 71情報セキュリティのリスクマネジメントは全社的な取組みである
不正解ア
責任の所在が逆である。リスクマネジメントは、どのリスクを受け入れ、どこに人と予算を投じるかという経営判断そのものを含むため、最終責任者は経営者 (トップマネジメント) が担うのが原則である。現場の情報セキュリティ管理担当者は、経営者が決めた方針に従って日々の運用や監視を実行する立場であり、必要な権限も予算も持たない。その担当者を最終責任者に据えると、重大なリスクを受容するか否かの判断が現場に押し付けられ、全社的な対策が決められなくなる。
不正解イ
守るべき情報資産は日々の業務の中で使われているのだから、リスクマネジメントを業務から切り離した単独の活動として行うことはできない。業務の流れを踏まえずに対策だけを決めると、現場では守れない規程ができて形骸化したり、逆に業務を過剰に止めてしまったりする。実際には、業務プロセスや情報システムの企画・開発・運用の各段階にリスクの評価と対策を組み込み、事業活動と一体で継続的に回すべきものである。
- ウ
正解 正解はウ「組織の全員が役割を分担して, 組織全体で取り組む。」。情報セキュリティにおけるリスクマネジメントとは、情報資産に対するリスクを洗い出して分析・評価し (リスクアセスメント)、その結果に応じて対策を選んで実施し、運用状況を見直して改善していく一連の活動である。情報資産は経営層から現場の一般社員、さらには委託先まで、組織のあらゆる場所で日々扱われており、事故の多くは紛失・誤送信・パスワード管理の甘さといった一人ひとりの行動から起こる。したがって、情報システム部門やセキュリティ担当者だけが頑張っても組織のリスクは下がらず、経営者は方針の決定と最終責任を、管理者は自部門の運用と教育を、一般社員は規程の順守と報告を、というように立場ごとの役割を分担し、組織全体で取り組んで初めて実効性が生まれる。これがマネジメントシステム (PDCA を回す仕組み) の基本的な考え方であり、ウはその全社的取組みという性格を正しく述べているので最も適切である。
不正解エ
基本方針は組織全体で一つに統一するのが原則なので誤りである。情報セキュリティポリシーは、経営者が定める全社共通の基本方針を頂点に、その下に対策基準、さらに具体的な実施手順という階層で構成される。部署ごとの業務特性に応じて手順が異なるのは当然だが、基本方針まで各部署が個別に定めて独立して実施すると、部署間で対策の水準がばらついて最も弱い部署が組織全体の穴になり、部門をまたぐ情報のやり取りや事故時の対応も統制できなくなる。一つのマネジメントシステムの下という前提とも矛盾している。
ここがポイント
- 情報セキュリティのリスクマネジメントは全社的な取組みである。経営者が方針決定と最終責任を負い、管理者・一般社員・委託先までが役割を分担し、事業活動に組み込んだ形で、リスクの特定 → 分析 → 評価 (リスクアセスメント) → 対応 → 見直しという PDCA を継続的に回す。担当部門だけの活動でも、業務から切り離した一過性の活動でもない。
- 情報セキュリティポリシーは階層構造をとる。組織全体で統一した基本方針 (何を守り、なぜ守るかという経営者の宣言) を最上位に置き、その下に対策基準 (順守すべきルール)、実施手順 (部署やシステムごとの具体的なやり方) を定める。部署ごとに違ってよいのは下位の手順であって、基本方針ではない。
用語