ITパスポート 平成23年度 特別 問63

✓ これが正解イ 情報セキュリティに対する組織の取組みを示すもので，経営層が承認する。

解説

組織の姿勢を示す最上位の文書で、経営層が承認します。

情報セキュリティポリシーは、基本方針、対策基準、実施手順の三つの層で構成されます。いちばん上に来るのが、組織としての姿勢を示す情報セキュリティの基本方針です。何を大切にし、どう取り組むかを短くまとめます。組織を代表して決めるので、経営層が承認します。正解は、組織の取組みを示し経営層が承認すると述べた肢です。基本方針は上位の文書なので、細かい手順までは書きません。パスワードの管理方法や文書の保存方法は、下の層の実施手順で定めます。そのため具体的に規定すると述べた肢は、層を取り違えています。対策基準は、基本方針を受けて作られるものです。したがって対策基準に基づいて策定する、という順も逆になります。基本方針は、取引先や顧客に示すため外部へ公開することも多くあります。経営上の機密事項にすると述べた肢も、扱いを誤っています。まず、どの層の文書かを決めて読みます。

ほかの選択肢の解説

• ア 機密情報の漏えいを防ぐために，経営上の機密事項とする。：経営上の機密事項にすると述べた肢です。中身が漏れると危ない、という発想から来ています。しかし基本方針は、組織の姿勢を外へ示すための文書で、取引先や顧客に公開することも多くあります。隠してしまうと役目を果たせません。
• ウ 情報セキュリティの対策基準に基づいて策定する。：対策基準に基づいて策定すると述べた肢です。対策基準を土台にして基本方針を作る、という順になっています。実際は逆で、対策基準のほうが基本方針を受けて作られます。上の層から下の層へ降りる順が、入れ替わっています。
• エ パスワードの管理方法や文書の保存方法を具体的に規定する。：パスワードの管理方法や文書の保存方法を具体的に定めると述べた肢です。こうした細かい手順は、下位の層である実施手順で定めます。基本方針には、取り組む姿勢を短くまとめます。最上位の基本方針に書き込む中身ではなく、書く層が違っています。