問84
頻出度★★★
内外に宣言する最上位の情報セキュリティポリシに記載することとして, 最も適切なものはどれか。
令和元年度 秋期 ITパスポート試験 問84
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 84
- ア
正解 情報セキュリティポリシは一般に「基本方針(最上位)→ 対策基準 → 実施手順」の三階層で構成される。最上位の基本方針は組織が内外に宣言する文書であり、経営陣が情報セキュリティに本気で取り組むという姿勢・目的・適用範囲などを、具体的な手順に立ち入らず宣言する。したがってアの「経営陣が情報セキュリティに取り組む姿勢」が最上位ポリシに記載すべき内容として最も適切である。
不正解イ
「情報資産を守るための具体的で詳細な手順」は、三階層のうち最下位の実施手順(手順書)に記載する内容であり、内外に宣言する最上位の基本方針に書くものではない。詳細な手順を公開すると攻撃者に手の内を明かすことにもなり不適切。
不正解ウ
「セキュリティ対策に掛ける費用」は予算・運用管理上の内部情報であり、組織の姿勢を宣言する最上位ポリシに記載する項目ではない。金額を内外に宣言する意味もない。
不正解エ
「守る対象とする具体的な個々の情報資産」は対策基準など下位の文書で管理する内容。個々の資産を列挙するのは最上位の宣言文書の役割ではなく、また具体的な資産名を外部に公開するのは機密上も不適切。
ここがポイント
- 情報セキュリティポリシの三階層構造:最上位の「基本方針」は内外に宣言する経営陣の姿勢・目的を示し、下位の「対策基準」「実施手順」で具体的なルールや手順を定める。
- 抽象度の切り分け:最上位ほど抽象的・宣言的(姿勢・方針)、下位ほど具体的(手順・対象資産)になる。具体的手順や個々の資産・費用は最上位に書かない。
用語