予想問題vol.1 問2
問2
情報セキュリティ基本方針の説明として，適切なものはどれか。
- 一度決められた情報セキュリティ基本方針は，ビジネス環境や技術が変化しても変更すべきでない。
- 情報セキュリティに関する組織の取組み姿勢を示したものであり，組織のトップによって承認され，公表される。
- セキュリティビジネスを拡大するための重点的な取組みについて，株主や一般に広く公開されるものである。
- 組織のセキュリティの考え方に基づいて，具体的なセキュリティ施策について述べたものである。
- [出典]
- ITパスポート H23秋期 問83
分類
テクノロジ系 » セキュリティ » 情報セキュリティ管理
正解
イ
解説
情報セキュリティの基本方針(情報セキュリティポリシー)には、明確な基準となる構成や法の定義があるわけではありませんが、情報処理技術者試験では、IPA：情報処理推進機構が公開している「情報セキュリティポリシーの策定」に基づいて出題されています。
この中で情報セキュリティポリシーは、基本方針(ポリシー)、対策基準(スタンダード)、実施手順(プロシージャー)の３階層の文書構成をとるのが一般的であるとされています。
以下の説明はIPAのサイトに掲載されている内容を引用したものです。
この中で情報セキュリティポリシーは、基本方針(ポリシー)、対策基準(スタンダード)、実施手順(プロシージャー)の３階層の文書構成をとるのが一般的であるとされています。
- 基本方針
- 組織の経営者が、「情報セキュリティに本格的に取り組む」という姿勢を示し、情報セキュリティの目標と、その目標を達成するために企業がとるべき行動を社内外に宣言するものです。「なぜセキュリティが必要か」という「Why」について規定し、何をどこまで守るのか（対象範囲）、誰が責任者かを明確にします。また、業界標準、該当する法令、政府規制への準拠を宣言する場合があります。
- 対策基準
- 基本方針で作成した目的を受けて、「何を実施しなければならないか」という「What」について記述します。組織的に情報セキュリティ対策を行うためのルール集で、人事規程や就業規程などの類の企業の構成員が守るべき「規程類」に相当します。実際に守るべき規程を具体的に記述し、適用範囲や対象者を明確にします。
- 実施手順
- 対策基準で定めた規程を実施する際に、「どのように実施するか」という「How」について記述します。マニュアル的な位置づけの文書であり、詳細な手順を記述します。
- 環境の変化に合わせて定期的な見直しが必要になります。
- 正しい。
- 情報セキュリティマネジメントを確立するために取り組む姿勢を、社内外に宣言するものです。
- 情報セキュリティ実施手順の説明です。