問85
頻出度★★★
情報セキュリティポリシを, 基本方針, 対策基準, 実施手順の三つの文書で構成したとき, これらに関する説明のうち, 適切なものはどれか。
令和4年度 ITパスポート試験 問85
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 85
- ア
正解 信息安全策略由「基本方针」「对策基准」「实施步骤」三个层次构成，上位文档是下位文档的依据。最上位的基本方针是宣告「为什么、为了什么而开展信息安全工作」这一高层管理者（经营层）意志与方针的文档，在此基础上再制定对策基准（应当遵守的规则）和实施步骤（具体的做法）。ア正确地描述了基本方针的作用，因此恰当。
错误イ
实施步骤是把对策基准所规定的规则在现场「如何执行」具体写下来的最下位手册，而不是为制定基本方针或对策基准所做作业的记录。把它说成是制定上位文档的作业记录，弄错了该文档的定位。
错误ウ
对策基准是为实现基本方针而规定应当遵守的具体规则和遵守事项的文档，并不是给出「制定策略所用文档的格式与基准」的东西。把它说成是制定文档所用的基准，与对策基准的实际内容不符。
错误エ
在三层结构中，越是下位的文档记述越具体、越详细。实施步骤比对策基准更详细。因此把「对策基准比实施步骤记述得更详细」当作正确，是把详细程度的顺序弄反了，是错误的。
ここがポイント
- 信息安全策略采用「基本方针（高层管理者的意志表明）→ 对策基准（应遵守的规则）→ 实施步骤（具体步骤）」的三层结构，越上位越抽象、越下位越具体。
- 基本方针是由经营层制定的最上位文档，是制定对策基准与实施步骤的依据。
用語