問71
頻出度★★★
情報セキュリティにおけるリスクマネジメントに関する記述のうち, 最も適切なものはどれか。
平成25年度 春期 ITパスポート試験 問71
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 71信息安全的风险管理是全组织范围的工作
错误ア
责任的归属正好相反。风险管理本身就包含接受哪些风险、把人力和预算投向何处这样的经营判断，因此最终责任人原则上由经营管理层（最高管理者）担任。现场的信息安全管理负责人，处于按照经营管理层所定方针执行日常运行与监控的立场，并不掌握必要的权限和预算。若把这样的负责人定为最终责任人，是否接受重大风险的判断就被推给了一线，全组织范围的对策也就无法拍板确定。
错误イ
应当保护的信息资产就是在日常业务中被使用的，因此不可能把风险管理作为脱离业务的独立活动来进行。不结合业务流程而只顾确定对策，就会产生现场根本守不住、最终流于形式的规程，或者反过来过度阻断业务。实际上，应当把风险的评价与对策嵌入业务流程以及信息系统的规划、开发、运行各个阶段，与经营活动融为一体地持续运转。
- ウ
正解 正确答案是 ウ「由组织全体成员分担各自的职责，全组织共同推进。」。信息安全中的风险管理，是指把针对信息资产的风险梳理出来并加以分析、评价（风险评估），再根据其结果选择并实施对策，然后审视运行状况、加以改进的一系列活动。信息资产从经营管理层到一线普通员工、甚至到受托的外部厂商，在组织的各个地方每天都在被使用，而事故大多源自丢失、误发送、密码管理松懈这类每个人的行为。因此，只靠信息系统部门或安全负责人努力，组织的风险是降不下来的；只有像经营管理层负责方针的决策与最终责任、管理者负责本部门的运行与培训、普通员工负责遵守规程与上报那样，按各自的立场分担职责，由全组织共同推进，才会产生实效。这正是管理体系（循环运转 PDCA 的机制）的基本思路，ウ 正确地陈述了这种全组织共同参与的性质，所以最恰当。
错误エ
基本方针原则上要在全组织统一为一个，所以该项是错误的。信息安全策略以经营管理层所定的全组织通用的基本方针为顶点，其下是对策标准，再往下是具体的实施步骤，构成这样的层次结构。各部门根据自身业务特点使实施步骤有所不同是理所当然的，但如果连基本方针都由各部门分别制定并独立实施，各部门之间对策的水平就会参差不齐，最薄弱的部门会成为整个组织的漏洞，跨部门的信息交换以及事故发生时的应对也无法统一管控。这与「在同一个管理体系之下」这一前提本身也是矛盾的。
ここがポイント
- 信息安全的风险管理是全组织范围的工作。由经营管理层负责方针决策并承担最终责任，管理者、普通员工乃至受托的外部厂商都分担各自的职责，以嵌入经营活动的形式，持续循环运转「风险的识别 → 分析 → 评价（风险评估）→ 应对 → 复查」这一 PDCA。它既不是只由主管部门开展的活动，也不是脱离业务的一次性活动。
- 信息安全策略采用层次结构。最上层放置全组织统一的基本方针（经营管理层关于保护什么、为什么保护的宣言），其下制定对策标准（必须遵守的规则）和实施步骤（各部门、各系统的具体做法）。可以因部门而异的是下层的实施步骤，而不是基本方针。
用語