問76
頻出度★★★
情報セキュリティポリシに関する考え方のうち, 適切なものはどれか。
平成22年度 秋期 ITパスポート試験 問76
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 76
错误ア
让所有信息资产的对策费用都相同是不恰当的。信息安全对策的原则是，按照信息资产的重要程度（一旦泄露、被篡改或停止运行所造成的损失大小）以及风险的大小，投入与之相称的费用。已经公开的宣传资料，与客户的个人信息或财报发布前的财务数据，需要保护的价值完全不同。如果对所有资产都投入同样的金额，重要资产会保护不足，不重要的资产又会投资过度，成本效益随之恶化。
错误イ
把信息安全方针只向高层管理人员公开是不恰当的。信息安全方针是经营者代表组织宣示其安全工作态度的最高层级文件，只有向全体从业人员传达，它才能成为行动的依据。此外，为了向业务伙伴和客户展示可信度，通常还会通过网站等渠道对外公开。需要限制知悉范围的，是写有具体设置值和操作步骤的下层文件，即对策标准和实施步骤，而不是信息安全方针。
- ウ
正解 正确答案是ウ。信息安全策略是组织为保护自身信息资产而制定的、规定了要保护哪些信息资产以及如何保护的全组织统一规则。规则是否真正有效，取决于「最薄弱的环节」，因此凡是有可能接触信息资产和信息系统的人，都必须纳入适用对象。如果只把正式员工作为对象，而把兼职人员、临时工、派遣员工、合同工排除在外，他们所处理的客户信息和终端设备就会脱离管理，那里就会成为信息泄露的缺口。因此适用对象不应限于正式员工，而应是包括兼职人员等在内的全体从业人员，所以ウ是恰当的。
错误エ
把同行业其他公司的策略尽可能原样照搬是不恰当的。策略应当在梳理本组织所持有的信息资产并进行风险分析的结果之上制定，而业务内容、组织规模、系统构成、适用的法律法规在各家公司都不相同。直接照搬其他公司的文件，一方面会混入本公司并不存在的规则，另一方面本公司特有的风险又会被遗漏，最终变成一线无法遵守、流于形式的文件。其他公司的案例只能作为文件结构的参考，内容必须结合本组织风险评估的结果来打磨制定。
ここがポイント
- 信息安全策略的适用对象，是不分雇用形式、所有会接触组织信息资产的从业人员（正式员工、兼职人员、临时工、派遣员工、合同工等），必要时还应包括外包承包方。规则总是从最薄弱的地方被突破，被漏掉的人就会成为漏洞。
- 策略具有层次结构。最高层的「信息安全方针」是经营者的宣言，要向全体从业人员传达，也可以对外公开；其下的「对策标准」和「实施步骤」更为具体，属于应限制知悉范围的文件。另外，对策费用要按照信息资产的重要程度和风险来分配，内容则要基于本组织的风险评估来制定。
用語