本ユニットでは、組織が情報セキュリティを「どう運用・管理するか」を学びます。土台となるポリシー・方針から、PDCAによる継続的改善、インシデント対応、個人情報保護の安全管理措置、サイバー保険などの個別施策までを扱います。管理活動の中核で出題頻度も非常に高い重要分野です。
組織の情報セキュリティに関する方針と対策をまとめた文書体系。
情報セキュリティポリシーは、組織として情報をどう守るかの考え方と具体的なルールを文書化したものです。一般に「基本方針」「対策基準」「実施手順」の3階層で構成され、上位ほど抽象的な方針、下位ほど具体的な手順になります。 組織全体の情報セキュリティ管理の出発点であり、これに基づいて社員の行動や技術的対策が定められます。試験では、トップ(経営層)が定める基本方針を頂点に階層構造をとること、組織全体に適用されることが頻出です。一度作って終わりではなく、見直しを繰り返す対象である点も押さえましょう。
たとえ学校の校則のようなもの。「安全で快適に過ごす」という大方針の下に、細かな生活ルールや具体的な当番表が連なる、という階層になっている点が似ています。
記憶フック情報セキュリティポリシーといえば基本方針・対策基準・実施手順の3階層
情報セキュリティに対する組織の基本的な考え方を示した最上位文書。
情報セキュリティ方針(基本方針)は、ポリシーの最上位に位置し、「なぜ・何を守るのか」という組織の姿勢や目的を宣言する文書です。経営層が策定し、組織内外に示すことで、セキュリティへの取り組みの土台となります。 具体的な対策基準や実施手順は、この方針に沿って作られます。試験では、ポリシー全体の中で方針が最上位の宣言にあたること、経営者の責任で定められることが問われます。細かいルールそのものではなく、方向性を示すものだという位置づけを理解しておきましょう。
たとえ会社の「経営理念」のようなもの。日々の業務手順そのものではなく、「私たちは何を大切にするか」という根本の姿勢を内外に宣言したものにあたります。
記憶フック情報セキュリティ方針といえば経営層が示すポリシー最上位の基本方針
PDCAサイクルを回し、管理活動を繰り返し見直して向上させること。
継続的改善は、情報セキュリティ管理を「作って終わり」にせず、運用しながら絶えず良くしていく考え方です。Plan(計画)・Do(実行)・Check(評価)・Act(改善)というPDCAサイクルを繰り返すことで、新たな脅威や問題に対応していきます。 情報セキュリティマネジメントシステム(ISMS)の基本的な考え方でもあります。試験では、PDCAの各段階の意味と順序、そして「一度の対策で完結せず継続して改善する」という点が頻出です。環境変化に合わせて見直し続ける姿勢が問われます。
たとえダイエットの記録と見直しに似ています。計画→実行→体重チェック→やり方を修正、を繰り返すことで、状況に合わせて少しずつ成果を高めていく流れと同じです。
記憶フック継続的改善といえばPDCAを回し続けて管理を向上
情報セキュリティを脅かす事故・事象。情報漏えいや不正アクセス等。
情報セキュリティインシデントとは、情報の機密性・完全性・可用性を損なう、またはその恐れがある事故や出来事のことです。具体的には、情報漏えい、ウイルス感染、不正アクセス、システム停止、紛失・盗難などが該当します。 発生した際は速やかに検知・対応・復旧し、再発防止につなげることが重要で、これが継続的改善のきっかけにもなります。試験では、どのような事象がインシデントにあたるか、また発生時に迅速な対応体制(CSIRT等)が必要であることが問われます。「起きてしまった/起きかけた悪い事象」という広い概念だと押さえましょう。
たとえ工場でのケガや機械トラブルのような「事故・ヒヤリハット」にあたります。実際に起きた事故だけでなく、危うく起きかけた事象も含めて扱う点が似ています。
記憶フック情報セキュリティインシデントといえば漏えい・不正アクセス等の事故・事象
個人データの漏えい等を防ぐため事業者が講じる管理上の対策。
安全管理措置は、個人情報保護法に基づき、個人データを安全に管理するために事業者が講じるべき対策です。組織的・人的・物理的・技術的の4種類に分類されます。組織的(体制整備)、人的(教育・誓約)、物理的(施錠・入退室管理)、技術的(アクセス制御・暗号化)といった具合です。 ポリシーを具体的な実施策に落とし込む役割を持ちます。試験では、4つの分類とそれぞれの具体例(どの措置がどの分類か)、個人情報の保護を目的とする点が問われます。漠然と『対策』ではなく、4区分で整理されることを押さえましょう。
たとえ貴重品を守る対策を「保管ルール作り・係員教育・金庫設置・暗証番号化」と種類別に整える発想に似ています。人・場所・仕組みの各面から守りを固めます。
記憶フック安全管理措置といえば組織的・人的・物理的・技術的の4区分
サイバー攻撃や情報漏えいによる損害を補償する保険。
サイバー保険は、サイバー攻撃や情報漏えいなどのインシデントが発生した際の損害(損害賠償、事故対応費用、利益損失など)を補償する保険です。完全には防ぎきれない残存リスクへの備えとして利用されます。 リスク対応の分類では、損害を保険会社へ移す「リスク移転(リスクの共有)」にあたります。試験では、保険が攻撃そのものを防ぐ手段ではなく、被害が出た後の金銭的損失をカバーするものであること、リスク移転の代表例であることが問われます。予防策と混同しない点が大切です。
たとえ自動車保険に似ています。事故そのものを防ぐわけではありませんが、もし事故が起きたときの修理費や賠償を保険でまかなえるようにする「備え」にあたります。
記憶フックサイバー保険といえば被害を補償するリスク移転の手段
個人情報の取扱い方針を定め公表する文書。
プライバシーポリシー(個人情報保護方針)は、組織が個人情報をどのように収集・利用・管理し、第三者提供や開示請求にどう対応するかを定めて公表する文書です。Webサイトなどで利用者に示されます。 情報セキュリティ全般を扱うセキュリティポリシーに対し、こちらは個人情報の取扱いに特化している点が違いです。試験では、個人情報の利用目的などを明示し、本人に分かるよう公表するものであること、個人情報保護への取り組み姿勢を示す文書であることが問われます。
たとえお店の入口に貼る「お客様情報の取り扱いについて」の案内に似ています。集めた情報を何に使い、どう守るかを、利用者に向けてあらかじめ約束として示すものです。
記憶フックプライバシーポリシーといえば個人情報の取扱い方針を公表する文書
関係者間でリスクの情報や認識を共有し合う双方向の活動。
リスクコミュニケーションは、組織内外の関係者(経営層・従業員・顧客・取引先など)の間で、リスクに関する情報や認識を共有し合う双方向のやり取りです。一方的な通知ではなく、意見交換を通じて共通理解を深めることが目的です。 これにより、リスクへの過小・過大評価を防ぎ、適切な対応につなげます。試験では、情報を共有して相互理解を図る活動であること、一方通行の連絡ではなく双方向である点が問われます。インシデント時だけでなく、平常時の合意形成にも役立つことを押さえましょう。
たとえ防災のための町内会の話し合いに似ています。一方的な放送ではなく、住民同士が危険箇所や備えを出し合って共通認識をつくる、双方向のやり取りにあたります。
記憶フックリスクコミュニケーションといえば関係者間でリスク認識を共有する双方向活動
関連の過去問演習は今後のアップデートで追加予定です。