問84
頻出度★★★
内外に宣言する最上位の情報セキュリティポリシに記載することとして, 最も適切なものはどれか。
令和元年度 秋期 ITパスポート試験 問84
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 84
- ア
正解 信息安全策略通常由「基本方针(最高层级)→ 对策基准 → 实施步骤」三个层级构成。最高层级的基本方针是组织对内外宣布的文件，用于宣示经营层认真致力于信息安全的态度、目的以及适用范围等，而不涉及具体步骤。因此，ア的「经营层致力于信息安全的态度」作为最高层级策略应记载的内容最为恰当。
错误イ
「用于保护信息资产的具体而详细的步骤」属于三个层级中最底层的实施步骤(操作手册)所记载的内容，而不是写在对内外宣布的最高层级基本方针中的内容。公开详细步骤还等于向攻击者暴露己方手段，因此并不恰当。
错误ウ
「用于安全对策的费用」属于预算与运行管理方面的内部信息，并不是宣示组织态度的最高层级策略应记载的项目。将金额对内外宣布也没有意义。
错误エ
「作为保护对象的具体的各项信息资产」属于对策基准等下层文件所管理的内容。逐一列举各项资产并不是最高层级宣布性文件的职责，而且将具体的资产名称对外公开在保密上也不恰当。
ここがポイント
- 信息安全策略的三层结构：最高层级的「基本方针」对内外宣布，表明经营层的态度与目的；下层的「对策基准」「实施步骤」则规定具体的规则与步骤。
- 抽象程度的区分：越是高层级越抽象、越具宣示性(态度、方针)，越是低层级越具体(步骤、保护对象资产)。具体步骤、各项资产以及费用不写在最高层级。
用語