情報セキュリティポリシー策定の手順を前後関係で整理
ITパスポート試験 令和6年度 問94 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
企業において情報セキュリティポリシー策定で行う作業のうち、次の作業の実施順序として、適切なものはどれか。 a 策定する責任者や担当者を決定する。 b 情報セキュリティ対策の基本方針を策定する。 c 保有する情報資産を洗い出し、分類する。 d リスクを分析する。
- ア
a → b → c → d
- イ
a → b → d → c
- ウ
b → a → c → d
- エ
b → a → d → c
会話形式の解説
講師今回は、情報セキュリティポリシーを作るときの作業手順の問題です。四つの作業を全部覚えていなくても、「これをしないと次に進めない」という前後関係を二組見つければ、答えを絞り込めます。
受験者私は最初に方針を決めるものだと思っていました。基本方針を決めてから、誰が担当するかを決めるのではないのですか。
講師そう考える人は多いです。ただ、方針を作る作業そのものを誰が進めるのかが決まっていないと、作業に取りかかれません。なので、まず策定の責任者や担当者を決めて推進体制、つまり進める人と責任の所在を整えます。基本方針を決めるのはその後です。
受験者なるほど。そうすると、基本方針から始まっている二つの並びは、その時点で外れるのですね。
講師そのとおりです。もう一組は、情報資産の洗い出しとリスク分析の関係です。情報資産とは、会社が守るべき顧客データや業務の情報などのことです。どちらを先にすると思いますか。
受験者リスク分析で危ないところを見つけて、その後に資産を整理する流れもありそうな気がします。
講師リスク分析では、資産に対する脅威や脆弱性、発生する可能性、損失の大きさなどを評価します。評価の出発点が資産なので、何を持っているかが分からないままでは、どの資産にどんな影響があるかを評価できません。資産の洗い出しと分類が先です。
受験者そうすると、責任者を決めて、基本方針を作るところまでは合っていても、リスク分析を資産の洗い出しより先にしている並びは誤りなのですね。
講師はい。逆に、資産の洗い出しからリスク分析へ進む後半は正しくても、基本方針を責任者の決定より先にしている並びも誤りです。両方の順序が逆になっている並びは、もちろん不適切です。
受験者基本方針が資産の洗い出しより前に来る理由も知りたいです。
講師基本方針は、その後に決める具体的な対策や手続きの土台になるものです。だから、体制を整えたらまず方針を決めて、それから資産の把握とリスク分析という具体的な作業に進みます。総務省の資料でも、組織の決定、基本方針の策定、情報資産の洗い出しとリスク分析の順で示されています。
受験者まとめると、責任者や担当者の決定、基本方針の策定、情報資産の洗い出しと分類、リスク分析の順ですね。
講師正解です。この問題の引っかけは、前半だけ、または後半だけ正しい並びが混ざっていることです。一部が合っているだけで選ばずに、並び全体を確認してください。「体制から方針へ」「資産からリスクへ」の二つを押さえておくと、似た問題にも対応できます。
まとめ
情報セキュリティポリシーの策定は、責任者や担当者を決める推進体制の整備から始め、次に基本方針を策定し、その後に情報資産の洗い出し・分類とリスク分析へ進みます。基本方針は、その後に決める具体的な対策や手続きの土台になるため、資産の把握より先に決めます。リスク分析では資産に対する脅威や脆弱性、損失の大きさなどを評価するので、評価の対象となる資産を先に洗い出しておく必要があります。選択肢には前半だけ、または後半だけが正しい並びが含まれているため、並び全体を確認することが大切です。
解答・解説
正解はアです
この問題のテーマ
企業が情報セキュリティポリシーを策定するときの作業手順を問う問題です。推進体制の決定、基本方針の策定、情報資産の洗い出し、リスク分析をどの順に行うかを理解しているかが問われています。
解き方の考え方
まず、誰が策定を進めるのかを決めなければ、方針を作る作業に入れません。そのため、責任者や担当者を決めるaは基本方針を策定するbより前になります。また、守る対象の資産がはっきりしないと、資産ごとの脅威や影響を評価できません。そのため、情報資産を洗い出して分類するcは、リスクを分析するdより前になります。この2組の前後関係を満たし、さらに基本方針の後に資産の洗い出しとリスク分析へ進む並びになっている選択肢を選びます。
選択肢ごとの解説
- ○ア a → b → c → da→b→c→dの順序は、体制の整備、基本方針の策定、情報資産の把握、リスク分析の順に並んでいます。推進体制を整えてから基本方針を決め、その後に情報資産の洗い出しとリスク分析へ進むのが、一般的な策定手順です。総務省が示す策定手順の流れとも一致するため、これが正解です。
- ×イ a → b → d → ca→bの前半は正しいのですが、リスク分析dを情報資産の洗い出しcより先に行っている点が誤りです。評価の対象となる資産が整理されていないと、どの資産にどのような脅威や影響があるのかを適切に評価できません。
- ×ウ b → a → c → dc→dの後半は正しいのですが、基本方針の策定bを責任者・担当者の決定aより先に行っている点が誤りです。方針の策定を進めるには、先に推進体制と責任の所在をはっきりさせておく必要があります。
- ×エ b → a → d → c基本方針bと責任者・担当者の決定aの順序が逆になっています。さらに、リスク分析dと情報資産の洗い出しcの順序も逆です。前半と後半の両方に誤りがあるため、不適切です。
補足
リスク分析では、資産に対する脅威や脆弱性、発生する可能性、損失の大きさなどを評価します。評価の出発点が資産なので、資産の洗い出しが先になると覚えておくと判断しやすくなります。イは前半が正しく、ウは後半が正しいのですが、どちらも残りの部分の順序が逆なので不適切です。一部だけで判断せず、並び全体を確認しましょう。
POINT
- 情報セキュリティポリシー策定の最初の作業は、責任者や担当者を決める推進体制の整備です。
- 推進体制を決めた後に、情報セキュリティ対策の基本方針を策定します。
- 基本方針を策定した後に、保有する情報資産を洗い出して分類します。
- リスク分析は、守る対象である情報資産を洗い出して分類した後に行います。