問94
頻出度★★★
企業において情報セキュリティポリシー策定で行う作業のうち, 次の作業の実施順序として, 適切なものはどれか。 a 策定する責任者や担当者を決定する。 b 情報セキュリティ対策の基本方針を策定する。 c 保有する情報資産を洗い出し, 分類する。 d リスクを分析する。
令和6年度 ITパスポート試験 問94
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 94
- ア
正解 信息安全策略的制定按「搭建体制→方针→掌握资产→风险分析」的顺序推进。首先确定推进制定工作的负责人和承办人员 (a)，在该体制下制定组织的基本方针 (信息安全对策的基本方针) (b)。方针确定后，梳理并分类需要保护的所持有信息资产 (c)，再针对这些资产分析存在哪些威胁和脆弱性的风险 (d)。如果没有掌握资产就无法分析风险，因此必然是 c→d 的顺序。所以顺序为 a→b→c→d，正确答案是「ア」。
错误イ
a→b→d→c 的顺序。把风险分析 (d) 放在资产的梳理与分类 (c) 之前，但在尚未确定要保护什么的阶段无法分析风险。应当先识别并分类资产再分析风险 (c→d)，这个排列顺序颠倒了。
错误ウ
b→a→c→d 的顺序。把基本方针的制定 (b) 放在负责人和承办人员的确定 (a) 之前，但方针应当先确定承担制定工作的体制 (负责人和承办人员)，再由该体制来制定。a→b 的顺序才正确，开头颠倒了。
错误エ
b→a→d→c 的顺序。开头的 a 与 b 颠倒 (把方针制定放在搭建体制之前)，并且 d 与 c 也颠倒 (把风险分析放在资产分类之前)，属于双重错误。
ここがポイント
- 信息安全策略制定的标准步骤是「确定负责人和承办人员→制定基本方针→梳理并分类信息资产→风险分析」。先搭建体制，确定方针，掌握保护对象后再评估风险。
- 风险分析 (风险评估的一部分) 必须在识别并分类作为保护对象的信息资产之后才能实施。掌握资产在先、风险分析在后这一前后关系是判别的关键。
用語