安全策略与管理活动

信息安全策略（情報セキュリティポリシー）是把组织保护信息资产的理念和必须遵守的规则汇总起来的文档体系。

一般由三层构成：最上层的基本方针（即信息安全方针），把它细化为具体规则的对策基准，以及写明现场作业做法的实施步骤。越往上的文档越抽象，下层文档以上层文档为依据制定。也有一种划分只把基本方针和对策基准称为策略，不包括实施步骤。

类比很像国家的法律体系。相当于宪法的基本方针之下是相当于法律的对策基准，再往下是相当于更细规章的实施步骤。

该术语的过去问 3 题 情報セキュリティポリシー →

信息安全方针（情報セキュリティ方針）是由最高管理者表明组织对待信息安全的态度和努力方向的文档，位于策略的最高层。

它也叫信息安全基本方针，在 ISMS（组织持续管理信息安全的体系）中由最高管理者确立。它要结合本公司的业务和所处理信息的特点来制定，不能照抄其他公司的文字了事。

类比就像学校的校训。它标明学校重视什么，但不会写到课程表或值日安排怎么定。

记法“方针”的“针”是指南针的针。它只指出前进的方向，不规定怎么掌舵。

该术语的过去问 3 题 情報セキュリティ方針 →

持续改进（継続的改善）是指管理体系不是建好就完事，而是反复运转计划、执行、检查、处置的 PDCA 循环，一点点加以完善。

PDCA 是 Plan（计划）、Do（执行）、Check（检查）、Act（处置）的首字母，把 Act 中决定的改正方法反映到下一次 Plan 中，让循环不断运转。ISMS 以这一思路为基础，由经营层牵头、全组织共同推进。每转一圈，对策内容都会随新的威胁和业务变化而更新。

类比就像社团活动的练习赛。制定战术、比赛、看录像复盘、调整练习方法，每次都重复这个流程。

该术语的过去问 3 题 継続的改善 →

信息安全事件（情報セキュリティインシデント）是指威胁信息安全的事情（信息安全事态，情報セキュリティ事象）中，被评价为很可能损害业务或信息安全的那些。

典型例子有信息泄露、恶意软件感染、非法访问以及故障导致的服务中断等。应对中获得的经验要用于强化对策，避免同样的损害再次发生。

类比就像急诊室的分诊。对送来的病人进行诊察，判断紧急程度。

该术语的过去问 3 题 情報セキュリティインシデント →

安全管理措施（安全管理措置）是经营者依据个人信息保护法，为防止个人数据泄露、丢失等而采取的对策。

指南中通常把它归纳为 4 类：完善体制和规程的组织措施、对员工进行培训和监督的人员措施、保护场所和介质的物理措施，以及靠系统机制保护的技术措施。把个人数据的处理委托给外部时，委托方也要监督受托方是否切实遵守。

类比以银行的保管箱为例，就是从使用规则、职员培训、金库大门、密码这 4 个方面来保护寄存的物品。

记法4 类记作“组·人·物·技”，按谁来定、谁来处理、放在哪里、靠什么保护的顺序排列。

该术语的过去问 1 题 安全管理措置 →

网络保险（サイバー保険）是用保险金弥补因网络攻击或信息泄露造成的损害和应对费用的保险。

它是在采取对策后仍然残留的风险成为现实时，与保险公司分担经济负担的手段。若把风险应对分为规避、降低、共担、保留，它属于风险共担（也称风险转移）。

类比和汽车保险一样，事故发生后的修理费和赔偿费由保险金来弥补。

记法“保险”的“险”就是“危险”的“险”。危险本身还留在自己手里，只把金钱上的负担转到外部。

该术语的过去问 2 题 サイバー保険 →

隐私政策（プライバシーポリシー）是组织规定如何收集、使用和保护个人信息的理念并加以公布的文档。

在日语中也叫个人信息保护方针（個人情報保護方針），通常刊登在网站等处供用户阅读。其中写明使用目的、向第三方提供的处理方式，以及咨询和公开请求的窗口等。

类比就像会员卡申请表背面写的内容：所提交信息的用途，以及店家的承诺。

记法privacy 是 private（私人的）的名词形式。可以理解为：它处理的不是公司的秘密，而是只属于个人的事情。

该术语的过去问 1 题 プライバシーポリシー →

风险沟通（リスクコミュニケーション）是与组织内外的相关方进行双向交流，共享有关风险的信息和看法的活动。

经营层、员工、客户、合作方等立场不同，对风险的感受也不同，因此要交换意见、弥合认识上的差距。从风险识别到应对，风险管理的任何阶段都要进行。

类比就像社区的防灾会议。不只是听政府部门讲解，居民也会提出危险的地点和自己的担忧。

记法communication 源自拉丁语 communis（共同的）。可以理解为把风险变成相关方“共同的东西”的活动。