ITパスポート 過去問
令和3年度
問96 (テクノロジ系 問96)

情報セキュリティ方針は、情報セキュリティの目標とそれを達成するためにすべき行動を社内外に宣言する文書です。

１．不正解です。定期的な改善が必要です。

２．不正解です。記載するのは理想像ではありません。

３．不正解です。

　　取引先等から開示を求められる場合もあるため、

　　社外非公開ではありません。

４．正解です。

4が正解です。

情報セキュリティ方針（ポリシー）とは、企業や組織が情報セキュリティに対する方針をまとめたものです。

情報資産を守るためにどのような対策をとるのか、「基本方針」、「対策基準」、「実施手順」の３つの構成で具体的に記載します。

「基本方針」：情報資源をどのような脅威からどのように守るのかなど取り組みの姿勢を示します。

「対策基準」：基本方針を実現、維持する為に行うべきことを示します。

「実施手順」：どのように実施していくのか手順を示します。

1)　不正解です。状況に応じて改善するように求められています。

2)　不正解です。

理想像ではなく実際に取り掛かるセキュリティ対策の内容を具体的にまとめる必要があります。

3)　不正解です。

公式ホームページに掲載するなど顧客や外部に公表することが推奨されています。

企業活動で行われる情報セキュリティ対策の方針は、大まかに次のような流れで実施されます。

1.情報セキュリティ管理者を任命
2.管理者は、自社の業務や保有資産について考えられるリスクを把握
3.社内の情報セキュリティルールを策定し、実践をしくみ化
4.情報セキュリティルールの定期的な見直し

「2」については「リスクアセスメント」や「リスクマネジメント」、「3」について、しくみ化されたものを「ISMS（情報セキュリティマネジメントシステム）」と呼びます。