令和6年度 問94｜情報セキュリティポリシー・CSIRT・ISMAP・各種ガイドライン
企業において情報セキュリティポリシー策定で行う作業のうち，次の作業の実施順序として，適切なものはどれか。
- a策定する責任者や担当者を決定する。
- b情報セキュリティ対策の基本方針を策定する。
- c保有する情報資産を洗い出し，分類する。
- dリスクを分析する。
正解：ア a→b→c→d
ポイント
情報セキュリティポリシーを作るときの、作業の順序を問う問題です。
考え方と解き方
ポリシーは、まず作る体制を決め、基本方針で向きを定めてから、守る対象とリスクを調べて具体的な対策につなげます。リスク分析は、守る情報資産が分かってからでないとできません。
- 最初に、策定する責任者や担当者を決定します（a）。
- 次に、情報セキュリティ対策の基本方針を策定します（b）。
- そのうえで、保有する情報資産を洗い出して分類し（c）、リスクを分析します（d）。
- したがって、適切な順序は a→b→c→d で、ア です。
ほかの選択肢
- イ d を c の前に置いています。リスクの分析は、洗い出した情報資産に対して行うので、c のあとです。
- ウ b を a より先に置いています。責任者と担当者を決めたあとで、基本方針を策定します。
- エ b を a より先に置き、d を c の前に置いています。a のあとに b、c のあとに d です。
覚えておくこと
- 策定の順：責任者と担当者の決定、基本方針、資産の洗い出し、リスク分析
- 情報セキュリティ方針（ポリシー）：組織全体で定める、対策の基本方針
（テーマ・覚えること）
出典：令和6年度 ITパスポート試験 公開問題 問94