問61
頻出度★★★
組織で策定する情報セキュリティポリシに関する記述のうち, 最も適切なものはどれか。
平成26年度 秋期 ITパスポート試験 問61
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 61
错误ア
经营者应当制定和批准的是最上层的信息安全方针；要求经营者连其下的具体规则（对策基准）和操作步骤也全部亲自制定，是不恰当的。规则和操作步骤应由最了解业务与信息系统实际情况的各个部门、主管部门或信息安全管理者，在遵循基本方针的前提下负责制定和完善，这才是现实且通行的职责分工。经营者的职责在于给出方针、确保体制与资源，并对运行状况进行批准和评审。
错误イ
被要求（或者说宜于）向组织外部公开的，只到用于对外展示组织姿态的信息安全方针为止。其下的规则和操作步骤中包含系统构成、访问控制的具体设置、监视与检测的方法、安全事件响应的细节等内容，一旦公开就等于把自己的底牌摊给攻击者看。这些属于应当仅在组织内部必要范围内共享的机密信息，因此「要求向组织外部公开」的说法是错误的。
错误ウ
说明正好反了。恰恰是信息安全方针，才应当在考虑本组织的业务内容、所持有的信息资产、可能面临的风险以及法律法规和合同上的要求之后，作为经营者的意志、结合组织自身特点来制定。行业标准或其他公司的模板可以作为讨论的出发点加以参考，但并不是要求直接照搬采用；不符合本组织实际情况的方针只会流于形式。
- エ
正解 正确答案是エ。信息安全策略通常按照层级结构编制：最上层是「信息安全方针」，其下是「对策基准（规则）」，再下一层是「操作步骤」。其中信息安全方针是由经营者以组织意志的形式，对内对外宣告「本组织如何开展信息安全工作」的基本理念、目的、适用范围和责任体制的文件，原则上在一个组织中只存在唯一一份。另一方面，具体实施哪些对策，则因各部门所处理的信息资产重要程度、业务内容以及可能面临的风险各不相同，本来就理应因部门而异，下层的对策基准和操作步骤可以按照各自的实际情况分别编制。因此，「即使组织内的多个部门实施不同的信息安全对策，信息安全方针也应当在整个组织范围内保持统一」这一项エ最为恰当。如果连基本方针都因部门而各不相同，组织就不存在一以贯之的方针，既失去了判断哪个部门的对策是否妥当的依据，也失去了对外展示的统一姿态。
ここがポイント
- 信息安全策略采取「信息安全方针 → 对策基准（规则） → 操作步骤」的层级结构。最上层的基本方针由经营者作为组织意志来制定和宣告，原则上在整个组织中唯一且统一；下层的对策基准和操作步骤则可以按照各部门在信息资产和风险上的差异分别编制。
- 公开范围的区分也是常考点。基本方针作为展示组织姿态的文件，可以（甚至宜于）向组织外部公开，但具体的对策和步骤会成为对攻击者有利的信息，因此只在组织内部必要范围内处理。此外，方针不是照抄其他组织的模板，而要结合本组织的业务、资产、风险和法律法规要求来制定。
用語