情報セキュリティ方針は何を基に策定するのか
ITパスポート試験 令和3年度 問96 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
情報セキュリティ方針に関する記述として，適切なものはどれか。
- ア
一度定めた内容は，運用が定着するまで変更してはいけない。
- イ
企業が目指す情報セキュリティの理想像を記載し，その理想像に近づくための活動を促す。
- ウ
企業の情報資産を保護するための重要な事項を記載しているので，社外に非公開として厳重に管理する。
- エ
自社の事業内容，組織の特性及び所有する情報資産の特徴を考慮して策定する。
会話形式の解説
講師情報セキュリティ方針は、組織が情報を守るための基本的な考え方です。自社の実態に合っているかに注目しましょう。
受験者目指す理想像を書けば、取り組む方向が分かるので十分ではないですか。
講師理想像を示して活動を促すだけでは不十分です。組織が取り組める基本方針を示す必要があります。
受験者では、事業内容や組織の特性、持っている情報資産に合わせて考えるのですね。
講師そのとおりです。何を守り、どう取り組むかは組織によって異なります。自社の実態を踏まえて策定する記述が適切です。
受験者方針を決めた後は、運用が定着するまで変えない方がよいのでしょうか。
講師固定する必要はありません。運用中でも、組織の内外に変化があれば必要に応じて見直します。
受験者情報資産を守る方針なら、方針自体も社外秘にするべきだと思いました。
講師一律に社外秘にする必要はありません。基本的な考え方を示す方針と、個別の詳しい対策手順は分けて考えます。
受験者方針は自社の実態に合わせて作り、変化に応じて見直すのですね。詳しい対策手順とも区別できます。
講師はい。「情報を守る方針だから、方針も必ず秘密にする」という考え方に引っかからないようにしましょう。
まとめ
情報セキュリティ方針は、組織が情報を守るための基本的な考え方を示します。策定するときは、自社の事業内容、組織の特性、情報資産の特徴を踏まえます。定めた後も必要に応じて見直し、個別の詳しい対策手順とは分けて考えます。方針を一律に社外秘とする必要はありません。
解答・解説
正解はエです
この問題のテーマ
情報セキュリティ方針を何に基づいて策定し、どのように運用するかを問う問題です。
解き方の考え方
方針は、組織が情報セキュリティにどう取り組むかという基本的な考え方を示します。自社の事業や組織、守るべき情報資産に合っているかを軸に、各選択肢を判断します。
選択肢ごとの解説
- ×ア 一度定めた内容は，運用が定着するまで変更してはいけない。「定着するまで変更してはいけない」という説明は不適切です。運用中でも、組織の内外に変化があれば、必要に応じて方針を見直します。
- ×イ 企業が目指す情報セキュリティの理想像を記載し，その理想像に近づくための活動を促す。理想像を示して活動を促すだけでは、方針の説明として不十分です。組織が取り組むための、実行可能な基本方針を示す必要があります。
- ×ウ 企業の情報資産を保護するための重要な事項を記載しているので，社外に非公開として厳重に管理する。情報資産を守る方針だからといって、一律に社外秘にする必要はありません。また、個別の詳しい対策手順は、基本的な考え方を示す方針とは分けて扱います。
- ○エ 自社の事業内容，組織の特性及び所有する情報資産の特徴を考慮して策定する。事業内容、組織の特性、情報資産の特徴を考慮して策定するという説明は適切です。何を守り、どのように取り組むかは組織によって異なるため、自社の実態を方針に反映します。
補足
「情報を守る方針なのだから、方針自体も必ず秘密にする」という考え方に注意しましょう。方針と、具体的な対策手順を混同しないことが判断の助けになります。
POINT
- 情報セキュリティ方針は、組織の基本的な考え方を示します。
- 方針は、自社の事業、組織、情報資産の特徴を踏まえて策定します。
- 方針は固定せず、組織の内外の変化に応じて見直します。
- 基本方針と個別の詳しい対策手順は分けて考えます。