問47
頻出度★★★
情報セキュリティ基本方針, 又は情報セキュリティ基本方針と情報セキュリティ対策基準で構成されており, 企業や組織の情報セキュリティに関する取組みを包括的に規定した文書として, 最も適切なものはどれか。
平成27年度 春期 ITパスポート試験 問47
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 47
- ア
正解 信息安全策略是指组织为规定自身如何开展信息安全工作而制定的一套文档体系。它一般自上而下分为三个层级：「信息安全基本方针（关于为什么保护、保护什么的管理层宣言）」→「信息安全对策基准（为做到保护而需要全公司遵守的规则）」→「信息安全实施规程（现场使用的具体操作手册）」。其中作为策略来对待的范围，狭义上只指基本方针，广义上则指基本方针加对策基准。题干中「由信息安全基本方针，或由信息安全基本方针与信息安全对策基准构成」这一表述，与上述狭义、广义的说明完全一致；而「全面规定了企业或组织在信息安全方面所采取措施的文档」这一点，也正是经管理层批准、适用于全公司的文档这一策略定位本身。因此正确答案是ア的信息安全策略。
错误イ
信息安全管理体系（ISMS）是通过 PDCA 循环持续运行并改进信息安全的「机制、管理体制」，而不是某一份具体的文档。策略与 ISMS 的关系是：策略是为运行 ISMS 而编制的文档之一，因此不符合题干所问的「由基本方针与对策基准构成的文档」这一说明。
错误ウ
社会工程学是指不依靠技术手段，而是利用人的心理和行为上的疏漏来窃取信息的攻击手法的统称，例如冒名顶替的电话、从背后偷看（肩窥）、翻找垃圾（垃圾搜寻）等。它是攻击方的手段，而不是防守方的文档，与题干的说明方向完全不同。
错误エ
风险评估是通过风险识别、风险分析、风险评价这一系列工作，找出并评估组织所面临风险大小的「活动（过程）」。虽然会根据其结果来制定策略和对策，但评估本身并不是文档的名称，也不是由基本方针和对策基准构成的东西。
ここがポイント
- 要按「基本方针／对策基准／实施规程」的层级结构来把握信息安全策略。狭义上只把基本方针称为策略，广义上把基本方针加对策基准都称为策略。
- 区分容易混淆的术语时，要看它究竟是「文档」「机制」「活动」还是「攻击手法」。策略＝文档，ISMS＝管理机制，风险评估＝评价活动，社会工程学＝攻击手法。
用語