問85
頻出度★★★
情報セキュリティポリシを, 基本方針, 対策基準及び実施手順の三つの文書で構成したとき, これらに関する説明のうち, 適切なものはどれか。
平成31年度 春期 ITパスポート試験 問85
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 85
错误ア
层次的上下关系颠倒了。基本方针是最高层文档，由经营者（高层）作为组织的态度来制定；对策基准和实施步骤是承接基本方针而编写的下层文档。因此「员工依据经营者制定的对策基准、实施步骤来编写基本方针」这一说法是错误的。
错误イ
基本方针是表明组织如何开展信息安全工作的方针、目的与宣言的最高层文档，而不是记述事故发生时经营者应采取行动的应对手册。它把作用搞错了，因此错误。
- ウ
正解 信息安全策略由「基本方针→对策基准→实施步骤」这三个层次构成。最底层的实施步骤是这样一份文档：它把上一层对策基准所规定的事项，以负责人能够在现场实际执行的方式，详细记述了具体的推进方式和作业步骤。选项「ウ」正确地描述了实施步骤的这一作用，因此恰当。
错误エ
对策基准是为实现基本方针而规定应遵守的具体规则与基准的中层文档，并不处于规定上层的基本方针和下层的实施步骤「应写什么内容」的地位。它把各层次的作用搞错了，因此错误。
ここがポイント
- 信息安全策略的三层结构：基本方针（最高层，经营者的方针宣言）→ 对策基准（中层，应遵守的规则/基准）→ 实施步骤（下层，具体的执行步骤）。越上层越抽象、越稳定，越下层越具体。
- 各文档的作用：基本方针＝为什么/要达成什么，对策基准＝要遵守什么，实施步骤＝如何执行。下层文档承接上层文档而编写（自上而下）。
用語