問61
頻出度★★★
情報セキュリティの文書を詳細化の順に上から並べた場合，①～③に当てはまる用語の組合せとして，適切なものはどれか。 上から下へ3段に分かれた三角形（ピラミッド）があり，上段が①，中段が②，下段が③である。
平成22年度 春期 ITパスポート試験 問61
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 61
错误ア
①是基本方针，这一点正确，但②和③颠倒了。实施步骤是为在一线执行对策基准所规定的规则而编写的具体操作手册，是比对策基准更详细的最下层文件。如果把实施步骤放在中间层、把对策基准放在下层，就成了在详细的文件之下挂着比它更抽象的文件，违背了越往上越抽象、越往下越详细的金字塔方向。
- イ
正解 正确答案是「イ ①基本方针 ②对策基准 ③实施步骤」。信息安全策略一般用三层金字塔来表示，越往上越抽象、越面向全公司，越往下越具体、越详细。最上层的①「基本方针（信息安全基本方针）」是宣告为什么要开展信息安全工作、管理层以怎样的姿态对待信息安全的文件，只说明适用范围和责任人，不写到具体的做法。中间层的②「对策基准」是为实现该基本方针而按领域规定的应遵守的规则，例如密码要多少位以上、外部存储介质带出须经审批等，规定「保护什么、保护到什么水平」。最下层的③「实施步骤」是为在一线执行对策基准而编写的具体作业手册和操作规程，会细致写到在哪个界面如何操作、向谁如何申请。题目指定了「按由概括到具体的细化顺序从上往下排列」，因此抽象程度高的基本方针是①，接着是对策基准②，最详细的实施步骤是③，具有这一排列的组合只有「イ」。
错误ウ
把对策基准放在最上层、把基本方针放在其下，这一点是错误的。基本方针是管理层宣告整个组织姿态的最上层文件，对策基准则是承接该基本方针、把它落实为具体规则的下层文件。上位与下位被颠倒，就变成了基本方针要服从对策基准这种本来不可能存在的关系。
错误エ
三个层级的顺序全部错误。它把抽象程度最高、作为其他文件依据的基本方针放在最下层，把最详细的实施步骤放在中间层，所以不仅与细化的顺序相反，连层级关系本身都被破坏了。基本方针必须是作为其他两份文件前提的最上层文件。
ここがポイント
- 信息安全策略由「基本方针（Why・作为组织的宣告）→ 对策基准（What・应遵守的规则和水平）→ 实施步骤（How・具体的作业步骤和手册）」三个层级构成，越上层越抽象、变更频率越低，越下层越详细、会随一线情况的变化而修订。狭义的信息安全策略指上面两层（基本方针＋对策基准），不包含实施步骤，这一点也值得记住。
- 遇到考查层级文件排列顺序的题目时，先确认题目问的是「细化的顺序」还是「抽象程度由高到低的顺序」，再套用金字塔图上方抽象、下方详细这一原则。把各层文件是写给谁看的对应起来记忆（基本方针＝管理层面向全公司的宣告，对策基准＝面向管理人员的规程，实施步骤＝面向具体承办人的操作手册），就不容易弄错顺序。
用語