問63
頻出度★★★
情報セキュリティの基本方針に関する記述のうち, 適切なものはどれか。
平成23年度 特別試験 ITパスポート試験 問63
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 63
错误ア
基本方针不作为机密事项。基本方针是希望全体员工遵守的行动依据，不加以传达就不具有实效性。而且它还承担着向交易伙伴和客户表明本组织正认真对待信息安全的信任凭证这一作用，因此通常会通过网站等渠道向组织外部公开。它是写明理念与方针的文件，并不包含应当保密的细节，例如需要保护的信息资产的具体内容、系统构成、漏洞等。因此，「作为经营上的机密事项」这一表述搞错了基本方针的性质，是不恰当的。另外，真正应当作为机密来管理的，是包含具体设定值与运行步骤的下层文件以及信息资产本身。
- イ
正解 正确答案是イ。信息安全策略一般自上而下由「基本方针（信息安全方针）」「对策基准」「实施步骤」三个层次构成。位于最上层的就是基本方针，它是向组织内外宣示本组织如何对待信息安全这一态度本身的宣言性文件。具体而言，它写明为什么要开展信息安全工作（目的）、要保护什么（对象与适用范围）、由谁承担责任（体制与责任人）、如何遵守法律法规与合同等作为组织的基本考虑方式。这里不写个别的技术性操作步骤，而只停留在理念与方向指引上，这是它的特点。该文件约束组织的全体成员，并直接关系到预算与人员分配等经营决策，因此必须由经营层（最高管理层）而不是一线的负责部门来批准，并作为组织的意志加以发布。JIS Q 27001 / JIS Q 27002 中也要求信息安全方针由最高管理层建立并批准，且传达给组织内的员工以及相关的外部相关方。イ 同时正确地表述了「表明组织的方针态度」这一性质与「由经营层批准」这一程序，因此是恰当的。
错误ウ
上下关系颠倒了。三个层次之中，基本方针位于最上层；对策基准是为实现基本方针而规定「做什么、做到什么程度」的中间层规程；实施步骤则是把它进一步落实为「如何执行」的最下层文件。制定是自上而下进行的，即先确定基本方针，再据此制定对策基准，然后依据对策基准编写实施步骤。本选项说「依据对策基准来制定基本方针」，这等于以下层文件为依据来编写上层文件，因此是错误的。
错误エ
这是下层文件的职责，而不是基本方针的职责。密码的字符数与更改频率等管理方法，文档的保存位置、保存期限与销毁方法等内容，都属于在对策基准或实施步骤这一层次上具体规定的事项。如果把这类细节写进基本方针，那么每当技术或运行方式发生变化，就必须重新取得经营层的批准来修订最上层文件，方针的稳定性就会受损。基本方针承担不易变化的理念，下层文件承担易于变化的具体措施，二者形成这样的分工。本选项把具体规定归到了基本方针，因此是不恰当的。
ここがポイント
- 信息安全策略的三个层次 —— 自上而下依次为「基本方针（信息安全方针）」「对策基准」「实施步骤」。基本方针承载目的、适用范围、体制等组织的理念与宣言，对策基准承载必须遵守的规程，实施步骤承载具体的作业步骤。制定自上而下进行，即依据基本方针制定对策基准，依据对策基准编写实施步骤。
- 基本方针的批准者与公开性 —— 因为它约束组织整体并直接关系到经营决策，所以由经营层（最高管理层）批准并宣示。通常要向全体员工传达，同时作为向交易伙伴和客户表明信任的方式向组织外部公开，而不是作为机密文件藏起来的东西。
用語