問96
頻出度★★★
情報セキュリティ方針に関する記述として, 適切なものはどれか。
令和3年度 ITパスポート試験 問96
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 96
错误ア
信息安全方针并不是一旦确定就固定不变的，而是需要根据业务环境、威胁和法律法规的变化定期进行复审和改进（通过 PDCA 实现持续改进）。认为「在运行稳定下来之前不得变更」是错误的。
错误イ
方针应当成为可实现的、具体行动的基础，而不是仅仅提出一个无法达到的「理想状态」。基于本公司实际情况的实效性才是关键，把记载理想状态本身当作目的的表述，不符合方针应有的性质。
错误ウ
基本方针是向公司内外相关方宣示管理层安全态度的文件，通常会对外公开（例如在本公司网站上披露）。把它整体作为对外不公开的内容加以保密并不恰当（这是与详细的对策基准和实施步骤应作内部管理这一点相混淆了）。
- エ
正解 信息安全方针（基本方针）并不是适用于任何企业的通用模板，而是应当依据本组织的实际情况来制定。选项エ表述为「考虑本公司的业务内容、组织的特性以及所拥有信息资产的特征来制定」，正符合这一原则。需要保护的信息资产以及面临的风险会因行业、规模和组织文化而不同，因此只有立足于本公司的实际情况，方针才能真正具备实效性。所以エ是恰当的。
ここがポイント
- 信息安全方针（基本方针）要结合本公司的业务内容、组织特性和信息资产的实际情况进行个性化制定。
- 方针应持续复审（PDCA），并作为管理层的态度对外公开，这是基本原则，而不是加以保密或固定不变。
用語