問94
頻出度★★★
企業において情報セキュリティポリシー策定で行う作業のうち, 次の作業の実施順序として, 適切なものはどれか。 a 策定する責任者や担当者を決定する。 b 情報セキュリティ対策の基本方針を策定する。 c 保有する情報資産を洗い出し, 分類する。 d リスクを分析する。
令和6年度 ITパスポート試験 問94
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 94
- ア
正解 情報セキュリティポリシー策定は「体制づくり→方針→資産把握→リスク分析」の順で進める。まず策定を推進する責任者や担当者を決め (a)、その体制のもとで組織の基本方針 (情報セキュリティ対策の基本方針) を策定する (b)。方針が定まったら、守るべき対象である保有情報資産を洗い出して分類し (c)、その資産に対してどんな脅威や脆弱性があるかリスクを分析する (d)。資産を把握していなければリスクは分析できないため、必ず c→d の順になる。したがって a→b→c→d の順となり、正解は「ア」。
不正解イ
a→b→d→c の順。リスク分析 (d) を資産の洗い出し・分類 (c) より先に置いているが、何を守るかが定まっていない段階ではリスクを分析できない。資産を特定・分類してからリスクを分析する (c→d) のが正しく、この並びは順序が逆。
不正解ウ
b→a→c→d の順。基本方針の策定 (b) を責任者・担当者の決定 (a) より先に置いているが、方針はまず策定を担う体制 (責任者・担当者) を決めてから、その体制が策定する。a→b の順が正しく、先頭が逆。
不正解エ
b→a→d→c の順。先頭の a と b が逆 (方針策定を体制づくりより先にしている) であり、かつ d と c も逆 (資産分類より先にリスク分析を置いている) で、二重に誤り。
ここがポイント
- 情報セキュリティポリシー策定の標準手順は「責任者・担当者の決定→基本方針の策定→情報資産の洗い出し・分類→リスク分析」。まず体制を整え、方針を定め、守る対象を把握してからリスクを評価する。
- リスク分析 (リスクアセスメントの一部) は、保護対象である情報資産を特定・分類した後でなければ実施できない。資産把握が先、リスク分析が後という前後関係が判別のカギ。
用語