問47
頻出度★★★
情報セキュリティ基本方針, 又は情報セキュリティ基本方針と情報セキュリティ対策基準で構成されており, 企業や組織の情報セキュリティに関する取組みを包括的に規定した文書として, 最も適切なものはどれか。
平成27年度 春期 ITパスポート試験 問47
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 47
- ア
正解 情報セキュリティポリシとは、組織が情報セキュリティにどう取り組むかを定めた文書体系のことです。一般に上位から「情報セキュリティ基本方針 (なぜ・何を守るのかという経営者の宣言)」→「情報セキュリティ対策基準 (守るために全社で満たすべき規則)」→「情報セキュリティ実施手順 (現場での具体的な手順書)」の 3 階層で整理され、このうちポリシとして扱う範囲は、狭義では基本方針だけ、広義では基本方針＋対策基準までを指します。設問文の「情報セキュリティ基本方針、又は情報セキュリティ基本方針と情報セキュリティ対策基準で構成されており」という記述はこの狭義・広義の説明と完全に一致し、「企業や組織の情報セキュリティに関する取組みを包括的に規定した文書」という点も、経営層が承認して全社に適用する文書というポリシの位置づけそのものです。よって正解はアの情報セキュリティポリシです。
不正解イ
情報セキュリティマネジメントシステム (ISMS) は、情報セキュリティを PDCA サイクルで継続的に運用・改善していく「仕組み・管理体制」であって、特定の文書そのものではありません。ポリシは ISMS を運用するために整備される文書の一つという関係にあり、設問が問う「基本方針と対策基準で構成された文書」という説明には当てはまりません。
不正解ウ
ソーシャルエンジニアリングは、なりすまし電話や肩越しののぞき見 (ショルダハッキング)、ごみあさり (スキャベンジング) などのように、技術ではなく人間の心理や行動の隙を突いて情報を盗み出す攻撃手法の総称です。守る側の文書ではなく攻める側の手口なので、設問の説明とはまったく方向が違います。
不正解エ
リスクアセスメントは、リスク特定・リスク分析・リスク評価という一連の作業によって、組織が抱えるリスクの大きさを洗い出し評価する「活動 (プロセス)」です。その結果を踏まえてポリシや対策が定められますが、アセスメント自体は文書名ではなく、基本方針や対策基準で構成されるものでもありません。
ここがポイント
- 情報セキュリティポリシは「基本方針／対策基準／実施手順」の階層構造で捉える。狭義では基本方針のみ、広義では基本方針＋対策基準までをポリシと呼ぶ。
- 紛らわしい用語は「文書」なのか「仕組み」なのか「活動」なのか「攻撃手法」なのかで区別する。ポリシ＝文書、ISMS＝管理の仕組み、リスクアセスメント＝評価活動、ソーシャルエンジニアリング＝攻撃手法。
用語