問61
頻出度★★★
組織で策定する情報セキュリティポリシに関する記述のうち, 最も適切なものはどれか。
平成26年度 秋期 ITパスポート試験 問61
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 61
不正解ア
経営者が策定・承認すべきなのは最上位の情報セキュリティ基本方針であり、その下の具体的な規則 (対策基準) や実施手順まですべて経営者が作るべきだ、というのは不適切である。規則や手順は業務や情報システムの実態を最もよく把握している各部門・担当部署や情報セキュリティ管理者が、基本方針に沿う形で策定・整備するのが現実的かつ一般的な役割分担である。経営者の責務は方針を示し、体制と資源を確保し、運用状況を承認・レビューすることにある。
不正解イ
社外への公開が求められる (公開が望ましい) のは、組織の姿勢を対外的に示す情報セキュリティ基本方針までである。その下の規則や実施手順には、システム構成、アクセス制御の具体的な設定、監視や検知の方法、インシデント対応の詳細など、公開すれば攻撃者に手の内を明かすことになる内容が含まれる。これらは社内の必要な範囲に限定して共有すべき機密情報であり、社外公開が求められているという記述は誤りである。
不正解ウ
説明が逆になっている。情報セキュリティ基本方針こそ、自組織の事業内容・保有する情報資産・想定されるリスク・法令や契約上の要求を踏まえ、経営者の意思として組織固有に策定すべきものである。業界標準や他社のひな形は検討の出発点として参考にはできるが、そのまま採用することが求められているわけではなく、自組織の実態に合わない方針は形骸化してしまう。
- エ
正解 正解はエ。情報セキュリティポリシは通常、最上位の「情報セキュリティ基本方針」、その下の「対策基準 (規則)」、さらに下の「実施手順」という階層構造で作られる。このうち情報セキュリティ基本方針は、経営者が「自組織は情報セキュリティにどう取り組むか」という基本的な考え方・目的・適用範囲・責任体制を組織の意思として内外に宣言する文書であり、組織にただ一つだけ存在するのが原則である。一方、実際にどんな対策を実施するかは、扱う情報資産の重要度や業務内容、想定されるリスクが部門ごとに異なるため、部門ごとに違っていて当然であり、下位の対策基準や実施手順はその実態に合わせて作り分けてよい。したがって「組織内の複数の部門で異なる情報セキュリティ対策を実施する場合でも、情報セキュリティ基本方針は組織全体で統一させるべきである」というエが最も適切である。もし基本方針まで部門ごとにばらばらであれば、組織としての一貫した方針が存在しないことになり、どの部門の対策が妥当かを判断する拠り所も、対外的に示す統一した姿勢も失われてしまう。
ここがポイント
- 情報セキュリティポリシは「情報セキュリティ基本方針 → 対策基準 (規則) → 実施手順」の階層構造をとる。最上位の基本方針は経営者が組織の意思として策定・宣言し、組織全体で唯一・統一であることが原則。下位の対策基準や実施手順は、部門ごとの情報資産やリスクの違いに応じて作り分けてよい。
- 公開範囲の区別も頻出。基本方針は組織の姿勢を示すものとして社外にも公開してよい (むしろ望ましい) が、具体的な対策や手順は攻撃者に有利な情報となるため社内の必要な範囲に限定して扱う。また、方針は他組織のひな形の丸写しではなく、自組織の事業・資産・リスク・法令要求に合わせて策定する。
用語