ITパスポート 平成22年度 秋期 問76

✓ これが正解ウ 情報セキュリティポリシの適用対象としては，社員だけでなく，パートなども含めた全従業者とすべきである。

解説

雇用の形にかかわらず、情報に触れる人は全員が対象です。

セキュリティは、いちばん弱いところから破られます。だから情報セキュリティポリシーを当てはめる相手を、一部に絞ってはいけません。社員だけでなく、パートなども含めます。情報に触れる人は、雇用の形にかかわらず全員が対象です。だから全従業者とすべきだと述べた肢が正解です。一部が外れると、そこが穴になります。対策の費用をすべて同一にすると述べた肢は誤りです。守る情報資産の価値に応じて、厚みを変えます。最上位の情報セキュリティ基本方針を幹部だけに開示すると述べた肢も誤りです。基本方針は、外部にも示すために作るものです。詳細な手順は非公開にしますが、基本方針は別です。同業他社のポリシーをそのまま使うと述べた肢も、行きすぎです。守る情報資産もリスクも、会社ごとに違います。シラバスも、情報セキュリティポリシーを用語に挙げています。

ほかの選択肢の解説

• ア いかなる情報資産に対しても，実施する対策の費用は同一であることが望ましい。：対策の費用をすべて同一にする考え方です。公平に見えるので、筋が通っているように読めます。しかし情報資産には価値の差があります。重要なものには厚く、そうでないものには薄く配るのが基本です。一律では配り方が違います。
• イ …構成要素の最上位にある情報セキュリティ基本方針は，経営者を始めとした幹部だけに開示すべきである。：情報セキュリティ基本方針を幹部だけに開示する考え方です。外へ漏らさないほうが安全に見えます。しかし基本方針は公表するもので、取引先などにも自社の守り方を伝えます。伏せるのは詳細な手順のほうです。
• エ 情報セキュリティポリシを初めて作成する場合は，同業他社のポリシをサンプルとして，できるだけそのまま利用することが望ましい。：同業他社のポリシーをそのまま使う考え方です。早く作れるので手間は省けます。しかし守る情報資産もリスクも会社ごとに違います。自社のリスク評価を経ないと実態に合わず、そのままでは使えません。