ITパスポート 平成21年度 春期 問54

✓ これが正解イ 経営トップは情報セキュリティポリシに対する会社の考え方や取組み方について，社員への説明を率先して推進しなければならない。

解説

方針というものは、上が率先して示さなければ根づきません。

情報セキュリティポリシーは、情報セキュリティに対する会社としての考え方と取り組み方を示す文書です。まず経営層が、それを言葉にして示す必要があります。このため、経営トップが社員への説明を率先して推進するという選択肢が正解です。上が本気だと伝わらなければ、現場は対策を後回しにしてしまいます。ポリシーは階層になっており、最初に来るのは基本の方針で、遵守すべき行為や判断の基準はその下に置かれます。そのため、基準を最初に策定するという選択肢は順序が違います。対策ソフトウェアに設定する内容を定めるという選択肢は、さらに下の、製品ごとの手順の層にあたります。導入する製品を決めるという選択肢も、何を使うかという手段の話で、方針を定める段階ではありません。三つとも必要なことですが、置かれる層が違います。

ほかの選択肢の解説

• ア 各セキュリティ対策ソフトウェアに設定すべき内容の定義を明確にしなければならない。：各対策ソフトウェアに設定すべき内容を明確にするという記述です。実際に守るうえでは欠かせない作業ですが、ポリシーの中では最も下の、個々の製品の手順の層にあたります。会社としての考え方を示す方針そのものではありません。
• ウ 情報セキュリティポリシの策定においては最初に，遵守すべき行為及び判断の基準を策定しなければならない。：遵守すべき行為と判断の基準を最初に策定するという記述です。基準も必要な決めごとですが、最初に来るのは基本の方針です。基準はその方針を受けて、その次に作られます。
• エ 目標とするセキュリティレベルを達成するために，導入する製品を決定しなければならない。：目標とするセキュリティレベルを達成するために、導入する製品を決定するという記述です。備えを整えるうえでは必要ですが、何を導入するかは手段の話です。会社としての考え方を定める段階の話ではありません。