問56
頻出度★★★
情報セキュリティポリシに関する記述のうち, 適切なものはどれか。
平成21年度 秋期 ITパスポート試験 問56
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 56
错误ア
安全策略是企业自主制定的内部规程，并不属于《公司法》要求股东大会批准的事项。通常由经营层批准并宣布后制定和传达。
错误イ
策略是在整个组织中一致适用的方针与基准，并不是按每个系统分别制定的。针对个别系统分别编写的内容，属于策略之下的实施细则或系统运行规程这一层级。
错误ウ
本组织的脆弱性对攻击者来说是绝好的情报，对外公开反而会提高风险。制定策略时掌握的脆弱性应在组织内部严格管理，作为采取对策的信息使用，并没有公开的义务。
- エ
正解 信息安全策略是指：组织确定「要把信息资产保护到什么水平」这一目标，并为实现该目标，把成员应当遵守的行为准则、以及判断拿不准时可以依据的思路明文化而成的文件。一般由经营层提出方针的「信息安全方针」、规定应达到水平的「对策基准」、写明具体做法的「实施细则」这样的层次构成。エ 正确地表述了这一本质，即「为达成所要实现的安全级别，明确应当遵守的行为以及判断的思路」，因此是恰当的。
ここがポイント
- 信息安全策略＝把所要达成的安全级别、以及为守住该级别应遵守的行为和判断基准明文化的、面向整个组织的文件（信息安全方针／对策基准／实施细则的层次结构）。
- 策略是由经营层批准的内部规程，既不需要股东大会批准，也没有对外公开脆弱性的要求；它不是按系统单位制定，而是横跨整个组织制定的。
用語