ITパスポート 平成23年度 秋期 問83

✓ これが正解イ 情報セキュリティに関する組織の取組み姿勢を示したものであり，組織のトップによって承認され，公表される。

解説

基本方針は組織の姿勢を示すので、トップが承認して公表します。

情報セキュリティポリシーは、三つの層に分かれています。最上位が、組織の取組み姿勢を示す情報セキュリティ基本方針です。真ん中が、守るべき基準を並べた対策基準です。最下位に置かれるのが、実際の手順を書いた実施手順です。設問が問うのは、最上位の基本方針です。組織のトップが承認し、公表すると述べた肢が正解です。基本方針は、情報セキュリティポリシーの先頭に置かれる文書です。一度決めたら変更すべきでないと述べた肢は、言い過ぎです。ビジネス環境や技術が変われば、見直さなければなりません。セキュリティビジネスを拡大する取組みだとする肢は、題がすり替わっています。守りそのものではなく、売る話になっています。具体的なセキュリティ施策を述べたものだとする肢は、真ん中の対策基準の層のことです。三つとも、最上位の基本方針を指してはいません。シラバスも、情報セキュリティポリシーをセキュリティの項目に置いています。

ほかの選択肢の解説

• ア 一度決められた情報セキュリティ基本方針は，ビジネス環境や技術が変化しても変更すべきでない。：基本方針は一度決めたら変更すべきでないとする肢です。ぶれない姿勢を保ちたい、と読める形です。しかしビジネス環境や技術は、絶えず変わっていきます。合わなくなれば、基本方針も見直さなければなりません。言い切りが誤りです。
• ウ セキュリティビジネスを拡大するための重点的な取組みについて，株主や一般に広く公開されるものである。：セキュリティビジネスを拡大する取組みだとする肢です。重点的な取組みを、株主や一般へ示す形です。外へ公開するという点だけは、確かに近く見えます。しかし情報セキュリティの姿勢を示す文書ではありません。売る側の話にすり替わっています。
• エ 組織のセキュリティの考え方に基づいて，具体的なセキュリティ施策について述べたものである。：具体的なセキュリティ施策を述べたものだとする肢です。何をどう行うかを、細かく書き下ろしたものです。日々の業務では、いちばん近くに置かれます。しかし最上位の基本方針ではなく、真ん中の対策基準の層に当たります。