セキュリティ｜平成26年度 秋期 ITパスポート試験（特別措置試験） 問61

• 情報セキュリティ基本方針だけでなく，情報セキュリティに関する規則や手順の策定も経営者が行うべきである。
• 情報セキュリティ基本方針だけでなく，情報セキュリティに関する規則や手順も社外に公開することが求められている。
• 情報セキュリティに関する規則や手順は組織の状況にあったものにすべきであるが，最上位の情報セキュリティ基本方針は業界標準の雛形をそのまま採用することが求められている。
• ✓ これが正解組織内の複数の部門で異なる情報セキュリティ対策を実施する場合でも，情報セキュリティ基本方針は組織全体で統一させるべきである。

解説

上ほど一つにまとめ、下ほど現場に寄せる、が並びの向きです。

守りの決めごとは三階建てになっています。最上段は、組織として何を守るのかという構えを述べるもので、経営者が定め、全体で一つに保ちます。中段は守るための規則、下段は具体のやり方で、どちらも部門や仕事の中身に応じて分かれてかまいません。情報セキュリティポリシの問では、聞かれているのがどの段かを先に決めると迷いません。三階建てにする狙いは、変わりにくいものと変わりやすいものを分けて置くことにあります。世の中の危うさが動いても、下の二段を差し替えれば済み、いちばん上は据え置けます。逆に上を頻繁に書き換えると、会社が何を大事にしているのかが伝わりません。だから、どの段の文書を読んでいるのかを意識して読み分けます。実務では、いちばん上は数枚で収まり、下の段になるほど厚くなっていきます。

ほかの選択肢はなぜ違うのか

• 経営者が定めるのは最上段までです。下の二段まで一人で書くのは、実際にも成り立ちません。経営者が自ら手を下す範囲を問われたなら、いちばん上の一枚までがその範囲です。以下の文書は、実務を知る部門が持ち回りで書きます。
• 外へ示すことがあるのは最上段だけです。守り方そのものを外へ出せば、攻める側に手の内を教えます。外へ示してよい文書はどれかと問われたなら、いちばん上の一枚が答えになります。取引先や利用者へ構えを伝えるために出すこともあります。
• よそから借りた文をそのまま置いてよいのは、上ほど当てはまりません。上段はその組織の考えを表す場だからです。ひな型を写して済ませてよい場面を問われたなら、下の段の手引きがそれにあたります。作業の細部は、どこでも似た形になるためです。

この問題に関係する言葉

• 情報セキュリティポリシ基本方針・対策基準・実施手順の三つからなる、組織の決まりの文書です。規模が小さければ下の二つを一つにまとめ、二階層にしてもかまいません。

出典：平成26年度 秋期 ITパスポート試験（特別措置試験） 問61

この問題を演習で解く

同じ単元をまとめて解くならセキュリティへ。

この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）