問83
頻出度★★★
情報セキュリティ基本方針の説明として, 適切なものはどれか。
平成23年度 秋期 ITパスポート試験 問83
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 83
错误ア
信息安全基本方针并不是一经确定就永远不变的东西。信息安全管理体系（ISMS）以通过 PDCA 循环（计划、实施、检查、改进）持续改进为前提，方针同样是定期评审的对象。当业务内容或组织架构发生变更、引入新的技术或服务、出现新的威胁、法律法规被修订等导致前提条件改变时，就需要修订方针，使其与实际情况相符。“即使发生变化也不应变更”的表述与这种持续改进的思想正面冲突，因此错误。
- イ
正解 正确答案是イ。信息安全基本方针（信息安全方针）是宣告组织如何对待信息安全这一基本理念、目的、适用范围和责任体制的文件，属于信息安全策略体系中的最上位文件。信息安全策略一般按三个层级来组织：最上层是“基本方针”（为什么、为了什么而保护的理念宣言），其下是“对策基准（安全标准）”（为了保护而必须做什么的规则与应遵守事项），再下面是“实施程序”（如何具体执行的操作手册）。基本方针位于其中抽象程度最高的一层，不涉及具体的技术性措施。此外，它是适用于全公司的规范，并伴随必要的预算与人员分配，因此必须由组织高层（经营管理者）批准并亲自承担责任，由此才能保证其在整个组织范围内的实效性。再者，为了向业务伙伴、客户、股东等利益相关方表明本组织的态度以获得信任，通常在公司内部周知的同时也对外公布。イ 的表述同时满足“表明了组织对信息安全的态度”“由组织高层批准”“对外公布”这三个特征，因此作为基本方针的说明是恰当的。
错误ウ
“为扩大安全相关业务而采取的重点举措”讲的是如何把安全相关的商品和服务卖得更多，属于业务战略、经营计划的范畴；即使会向股东和公众公开，那也属于经营方针或中期经营计划之类的文件。信息安全基本方针所处理的，是本组织以何种姿态守护自身持有的信息资产，而不是为了获取收益而开展业务。它与正确选项仅在“会被公开”这一点上相同，但所宣告的内容完全是另一回事，因此错误。
错误エ
“基于组织的安全理念阐述具体的安全措施”所对应的，是位于基本方针下一层的“对策基准（安全标准）”，或者更下一层的“实施程序”。前半句“基于组织的安全理念”这一表述本身，就说明在它之上还存在另一份文件（即基本方针），这也印证了本选项所描述的并不是基本方针本身。基本方针是宣告理念与态度的层级，不会写到具体措施的内容。该表述把层级弄错了一级，因此错误。
ここがポイント
- 信息安全策略的三个层级 —— 最上层的“基本方针”（作为组织的理念、目的、适用范围与责任体制的宣言）、中间层的“对策基准（安全标准）”（应遵守的规则与准则）、下层的“实施程序”（具体的作业步骤）。具体的措施和步骤不由基本方针承担，而由下层文件承担。
- 基本方针的要求 —— 因为适用于全公司并伴随预算与人员的分配，所以由组织高层（经营管理者）批准并承担责任；为取得利益相关方的信任，在公司内部与外部都予以公布。同时，按照 ISMS 的 PDCA 循环定期评审，并随业务环境、技术、威胁、法律法规的变化加以修订。
用語