問78
頻出度★★★
ISMSを構築する組織において, 企業の経営方針に基づいて情報セキュリティ基本方針を策定した。これは, ISMSのPDCAサイクルのどのプロセスで実施されるか。
平成26年度 秋期 ITパスポート試験 問78
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 78
- ア
正解 正确答案是 ア (P = Plan，计划)。ISMS (信息安全管理体系) 按 PDCA 循环运作，P (计划) 阶段确定「保护什么、保护到什么程度、怎样保护」的整体框架。具体来说，制定与经营方针保持一致的信息安全基本方针 (策略)、确定 ISMS 的适用范围、实施风险评估并选择控制措施，这些都属于 P 阶段的工作。题目中「依据企业的经营方针制定了信息安全基本方针」，正是最初为整个组织确定安全方向的行为，也是之后 D、C、A 各阶段的基础。因此它是在 P 这个过程中实施的。
错误イ
D (Do = 导入与运行) 是把 P 阶段确定的基本方针和控制措施付诸实施的阶段。制定规程和手册、开展员工培训、实施访问控制和防病毒等具体运行工作都属于这一阶段。「制定」基本方针本身不属于 D，而属于其前一个阶段 P。
错误ウ
C (Check = 检查与评价) 是确认已运行的 ISMS 是否按方针和目标发挥作用的阶段，内部审核、有效性评审、管理层进行的管理评审等都属于这一阶段。作为评价「标尺」的基本方针，在 C 阶段被认为已经存在，并不是在这里制定的。
错误エ
A (Act = 复审与改进) 是针对 C 阶段发现的问题采取纠正措施和预防措施，持续改进 ISMS 的阶段。在这一阶段基本方针有可能被「修订」，但依据经营方针首次制定基本方针的行为不属于 A，而属于 P。
ここがポイント
- ISMS 的 PDCA 分工: P = 制定基本方针、确定适用范围、实施风险评估并选择控制措施；D = 导入与运行 (开展培训、落实各项措施)；C = 通过内部审核和管理评审进行检查；A = 通过纠正措施实现持续改进。
- 信息安全基本方针 (策略) 由管理层制定并与经营方针保持一致，是构建 ISMS 的出发点。要按阶段区分记忆: 制定属于计划阶段 (P)，修订属于改进阶段 (A)。
用語