平成21年度春期 情報処理安全確保支援士 午前Ⅰ 問14

セキュリティ基本方針は、会社の「セキュリティ宣言ポスター（社長の意思）」

情報セキュリティのルールブック（ポリシー）の中で一番偉い「基本方針」を問う問題。これは「我が社はセキュリティを重視します」と社内外に示すための社長（経営陣）からの公式宣言だから、外部にも公開できる形で作り、会社の姿勢を示すのが基本だよ。

この問題で問われていること

具体的なパスワードの長さ（対策基準）やマニュアル（実施手順）といった細かいことは基本方針には書かず、もっと大枠の「組織としての決意」を定めて外部にも見せるもの、と覚えよう。

Information Security Policy

an information security policy expresses management direction and support at an organizational level

management direction\norganizational policy\nnot system-specific procedure

確認ポイント

• 機密の詳細手順書ではありません。
• 経営の方向性を示します。
• 上位方針文書として捉える。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。情報セキュリティの基本方針は、社員など必要な人にきちんと伝わらないと意味がないんだ。避難ルールを金庫にしまって誰にも見せないと困るのと同じで、守るべき人が理解できるように周知する必要があるよ。

選択肢イ（正解）

これは正解だよ。情報セキュリティポリシは、会社として「情報をこう守るぞ」と経営陣の考え方や支援を示すものなんだ。家でいうと、家族全員に向けて「玄関は必ず施錠しよう」「合鍵は勝手に渡さないようにしよう」と決める基本ルールみたいなものだよ。

選択肢ウ

これは間違いだよ。基本方針は大事だけど、一度作ったら絶対に変えないものではないんだ。新しい泥棒の手口や新しい鍵が出てきたら防犯ルールを見直すよね。同じように、ビジネス環境や技術の変化に合わせて見直し・改訂する必要があるよ。

選択肢エ

これは間違いだよ。特定のシステムを細かく調べて、対策や運用手順まで書くのは、家全体の防犯方針というより「この部屋の鍵はこう使う」という作業マニュアルに近いんだ。情報セキュリティポリシは、もっと上位の基本方針を示すものだよ。