情報セキュリティポリシーの基本方針に何を書く？
ITパスポート試験 令和元年度秋期 問84 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
内外に宣言する最上位の情報セキュリティポリシーに記載することとして，最も適切なものはどれか。
- ア
経営陣が情報セキュリティに取り組む姿勢
- イ
情報資産を守るための具体的で詳細な手順
- ウ
セキュリティ対策に掛ける費用
- エ
守る対象とする具体的な個々の情報資産
会話形式の解説
講師「最上位」と「内外に宣言する」が判断の手掛かりです。どのような内容がふさわしいでしょうか。
受験者情報資産を守るための詳細な手順が大切だと思いました。それを宣言するのでしょうか。
講師詳細な手順は実際の作業方法なので、実施手順などに記載します。最上位の基本方針には、組織としての姿勢を示します。
受験者そうすると、経営陣が情報セキュリティに取り組む姿勢が当てはまりますか。
講師はい。組織の基本的な考え方を内外に示す内容なので、それが正解です。
受験者セキュリティ対策に掛ける費用も、組織の取り組みを示すように思えます。
講師費用は対策を進めるための資金に関する情報です。基本方針ではなく、予算や計画で扱います。
受験者守る対象の情報資産を一つずつ挙げるのも、基本方針とは違いますか。
講師はい。個々の情報資産は具体的な管理対象なので、資産管理台帳などで扱います。
受験者基本方針は組織全体の姿勢を示し、手順・費用・個々の資産は別の文書で扱うのですね。
講師その整理で判断できます。「守るために必要な情報」なら何でも基本方針に書く、と考えず、組織の姿勢か実務で使う具体的な情報かを見分けましょう。
まとめ
情報セキュリティポリシーの最上位にある基本方針は、組織の情報セキュリティに対する姿勢を内外に示す文書です。そのため、経営陣が情報セキュリティに取り組む姿勢を記載するのが適切です。詳細な作業方法は実施手順など、対策費用は予算や計画、個々の情報資産は資産管理台帳などで扱います。
解答・解説
正解はアです
この問題のテーマ
情報セキュリティポリシーの最上位文書である基本方針に、何を記載するかを問う問題です。
解き方の考え方
「最上位」と「内外に宣言する」という語に注目します。基本方針には、組織として情報セキュリティにどう取り組むかという姿勢を示します。具体的な手順や個別の管理情報は、その内容に応じた別の文書で扱うと整理すると判断できます。
選択肢ごとの解説
- ○ア 経営陣が情報セキュリティに取り組む姿勢経営陣が情報セキュリティに取り組む姿勢は、組織の基本的な考え方を示す内容です。内外に宣言する最上位の基本方針に記載するものとして適切です。
- ×イ 情報資産を守るための具体的で詳細な手順情報資産を守るための具体的で詳細な手順は、実際の作業方法を定める内容です。基本方針ではなく、実施手順などに記載します。
- ×ウ セキュリティ対策に掛ける費用セキュリティ対策に掛ける費用は、対策を進めるための資金に関する情報です。組織の姿勢を宣言する基本方針ではなく、予算や計画で扱います。
- ×エ 守る対象とする具体的な個々の情報資産守る対象となる個々の情報資産は、具体的な管理対象を示す情報です。基本方針に一つずつ列挙するものではなく、資産管理台帳などで扱います。
補足
「守るために必要な情報」なら何でも基本方針に書く、と考えないことが大切です。組織全体の姿勢を示す内容か、実務で使う具体的な情報かを見分けましょう。
POINT
- 情報セキュリティ文書は一般に3階層で構成され、最上位は基本方針です。
- 基本方針は、組織の情報セキュリティに対する姿勢を内外に示します。
- 詳細な作業方法は実施手順など、対策費用は予算や計画で扱います。
- 個々の情報資産は資産管理台帳などで扱います。