令和6年度 ITパスポート試験 問94

解説

正解は1です。 情報セキュリティポリシーを策定する作業の実施順序を問う問題です。 まず体制を整え、方針を決めてから、守るべき対象を把握し、そのリスクを分析する流れになります。 【記述別解説】 a：最初に、策定の責任者や担当者を決めて体制を整えます。 誰が策定するかが決まらないと、以降の作業を進められません。 b：次に、組織としての情報セキュリティ対策の基本方針を策定します。 経営者の考えを示す方針が、以降の作業の土台になります。 c：その後、保有する情報資産を洗い出して分類します。 守るべき対象がわからなければ、リスクを分析できないためです。 d：最後に、洗い出した情報資産に対するリスクを分析します。 分析結果をもとに、具体的な対策基準を定めていきます。 【選択肢別解説】 1：○ a、b、c、dの順であり、体制、方針、資産の洗い出し、リスク分析という適切な順序と一致します。 2：× dとcの順序が逆です。 リスク分析は、分析の対象となる情報資産を洗い出した後に行います。 3：× bとaの順序が逆です。 基本方針の策定は、策定する責任者や担当者を決めてから行います。 4：× aとbの順序、cとdの順序がいずれも逆です。 【ポイント】 情報セキュリティポリシーは、基本方針、対策基準、実施手順の3階層で構成されるのが一般的です。 リスク分析の結果は、主に対策基準の策定に活かされます。