問54
頻出度★★★
企業の情報セキュリティポリシの策定及び運用に関する記述のうち，適切なものはどれか。
平成21年度 春期 ITパスポート試験 問54
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 54信息安全策略是三层结构
错误ア
各项安全对策软件应设置的具体内容，是在策略体系最下层的“实施步骤”中规定的。策略（基本方针与对策基准）是以不依赖特定产品或技术的形式说明“保护什么”“应达到什么状态”的层次，因此把单个软件的设置值定义当作制定策略的要求是不恰当的。
- イ
正解 正确答案是 イ。信息安全策略并不是只由技术人员编写的技术文档，而是“本公司要这样保护信息资产”这一经营层的意志表明。因此，由经营高层亲自向员工说明公司的看法和应对方式、带头推动其深入落实，是制定与运用的大前提。如果员工感受不到高层是认真的，那么无论把策略文档写得多么完善，一线也不会把它当成自己的事去遵守，最终流于形式。在 JIS Q 27001 等管理体系中，管理层的承诺（参与并表明责任）以及向全体员工的告知也被列为必备要求，这一点需要掌握。
错误ウ
“应遵守的行为及判断的基准”属于三层结构中间层的对策基准（standards）。制定应遵循自上而下的原则，最先制定的是由经营高层给出的基本方针（为什么保护、保护什么的方针表明）。顺序颠倒了，所以错误。
错误エ
确定要引入的产品，是在方针与基准确定之后才进行的具体实施阶段（实施步骤）的工作。如果以产品为前提来搭建策略，就会被供应商的情况牵着走，而不是以经营目标为导向。作为关于策略制定与运用的描述文不对题，因此不恰当。
ここがポイント
- 信息安全策略是三层结构。自上而下依次为：基本方针（经营层的意志表明，为什么保护、保护什么）→ 对策基准（应遵守的行为及判断的基准）→ 实施步骤（具体的设置值与作业步骤）。制定必须从上层向下层推进。
- 决定策略成败的是经营高层的承诺。高层带头说明公司的理念并向全公司告知是必备要求；而产品选型和单个软件的设置并不是策略本身，属于实施步骤的范畴。
用語