問63
頻出度★★★
社内の情報セキュリティ教育に関する記述のうち, 適切なものはどれか。
平成27年度 春期 ITパスポート試験 問63
这道题的解析和你的作答记录。
解説
問 63
错误ア
需要再教育的契机并不只有更换信息系统。新的威胁和攻击手法出现、法令和指南修订、公司内部规程或安全方针的复审、人事调动，以及随时间推移意识逐渐淡化等，需要再教育的场合有很多。由于教育需要定期并按需反复实施，把再教育只限定在更换系统时是不恰当的。
错误イ
新员工会在不了解公司内部规程和安全方针的状态下开始工作，在熟悉业务之前的这段时间恰恰是风险最高的时期。误操作、把信息带出公司、不慎的社交媒体发帖等，在入职后不久也可能发生，因此教育原则上应在开始工作之前或入职时实施。
错误ウ
即使是不直接访问信息资产的员工，也承担着安全方面的职责，例如来访者的出入管理、纸质文件和U盘的处理、通过电话或口头造成的信息泄露、打开可疑邮件等。人员安全措施的目的是减少整个组织的薄弱环节，如果限定对象，未接受教育的员工就会成为被攻破的突破口。包括派遣员工和外包方在内，原则上应把全体人员作为对象。
- エ
正解 信息安全教育并不是向全体员工一律推送相同内容就可以的。员工所处理的信息资产和所拥有的权限，会因所负责的业务、角色和职责而不同，可能面临的威胁以及应采取的对策也随之变化。例如，管理层负责方针决策和发生安全事件时的判断，系统管理员负责访问权限管理和日志监控，普通员工则负责口令管理和应对定向攻击邮件，诸如此类。因此，说明内容根据员工所负责的业务、角色及职责进行变更的エ是恰当的。这也是基于信息安全方针持续开展宣导活动的基本思路。
ここがポイント
- 信息安全教育（宣导活动）应以全体员工为对象，并根据各人所负责的业务、角色和职责分别设计内容，这是基本原则。
- 教育应在入职时等开始工作之前实施，此后还需配合威胁的变化、规程修订、人事调动以及意识淡化，定期反复进行。
用語