問75
頻出度★★★
情報セキュリティポリシに関する文書を, 基本方針, 対策基準及び実施手順の三つに分けたとき, これらに関する説明のうち, 適切なものはどれか。
平成26年度 春期 ITパスポート試験 問75
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 75
- ア
正解 信息安全策略自上而下由「基本方针（policy）」「对策基准（standard）」「实施步骤（procedure）」三个层级构成。最上层的基本方针，是由经营层宣告组织对信息安全的态度、目的和适用范围的文件，是此后所有文件的依据。接下来的对策基准，是为实现该基本方针，把「保护什么、采取何种对策」按领域具体化为规程和规则，必定以基本方针作为上位依据来制定。最下层的实施步骤，是把对策基准所规定的事项落实到现场「如何执行」这一层面的手册类文件。ア 正确地叙述了这种由上位向下位展开的自上而下的方向，即「以经营层制定的基本方针为基础，制定对策基准」的关系，因此是恰当的。
错误イ
层级的方向反了。实施步骤是最下层的文件，基本方针是最上层的文件。若把现场的各种步骤汇总起来去制定经营层的基本方针，组织的方针就会沦为对现状的追认，无法发挥基本方针作为经营层所提出的统一指导方针的作用。基本方针应先作为经营层的意志加以确定，再据此整备各项步骤。
错误ウ
这一项的方向同样反了。对策基准是比实施步骤更上位的文件，它是承接基本方针而制定的。实施步骤是把对策基准具体化到现场作业层面的产物，因此以步骤为依据去制定对策基准这一顺序，与三个层级之间的关系相矛盾。
错误エ
对策基准是基本方针的下位文件，不能成为基本方针的依据。基本方针是经营层最先制定的最上层文件，并非由下位的对策基准推导出来。这是把上下关系弄反了的叙述。
ここがポイント
- 信息安全策略的三个层级：基本方针（Why・由经营层宣告的方针）→ 对策基准（What・按领域划分的规程）→ 实施步骤（How・现场的手册）。上位文件成为下位文件依据的自上而下结构。
- 基本方针由经营层制定并批准，并向整个组织公布周知。同时也要掌握这一区分：狭义的「信息安全策略」有时仅指基本方针和对策基准这两者。
用語