ITパスポート 2009年 春期 問54

企業の情報セキュリティポリシの策定及び運用に関する記述【ITパスポート 解説】

正解の理由

• ポリシは経営の意思表明であり、経営トップの関与とコミットメントが不可欠です。
• 経営トップが説明・推進することで、従業員の理解・遵守が得られやすくなります。 （補足：国際規格の ISO/IEC 27001（情報セキュリティ管理の国際規格）も経営層の関与を求めています）

解法ステップ

1. 「ポリシ（policy）」の定義を確認する
   • ポリシは「何を目指すか・なぜ必要か」を示す上位方針。具体的な設定や操作手順ではない。
2. 問題文のキーワードを探す
   • 「経営トップ」「社員への説明」「率先して推進」→経営層の関与・周知の重要性を示す表現はポリシに合致。
3. 選択肢を上位/中位/下位の観点で分類する
   • 上位（ポリシ）／中位（ルール・基準）／下位（設定・製品選定・運用）を区別して当てはめる。
4. もっともポリシの役割に合うものを選ぶ
   • 上位方針の説明・推進は経営トップの役割であり、イが最も適切。

選択肢別の誤答解説

• ア: 各セキュリティ対策ソフトウェアに設定すべき内容の定義を明確にしなければならない。
  誤り。これは「具体的な設定（設定値やルール）」に関する記述で、運用手順や技術的制御に該当します。ポリシはこうした詳細設定を直接定める文書ではなく、必要とするセキュリティ水準や方針を示した上で、運用手順や基準に落とし込む形になります。
• ウ: 情報セキュリティポリシの策定においては最初に、遵守すべき行為及び判断の基準を策定しなければならない。
  誤り。いきなり「遵守すべき行為や判断基準（詳細な規則）」を最初に作るのは順序が逆です。まずは目的・範囲・方針（何を守るか、どの程度まで守るか）を決め、その後に具体的な行為や判断基準（規程や手順、基準）を作ります。
• エ: 目標とするセキュリティレベルを達成するために、導入する製品を決定しなければならない。
  誤り。ポリシ段階では「目標とするセキュリティレベル」を定めることはありますが、具体的な製品選定は実装フェーズの判断です。ポリシは製品ではなく要件（例：機密性・可用性・完全性の目標）を示します。

よくある誤解

1. 「ポリシ＝詳細な設定」という誤解
   • ポリシは方針であり、具体的な設定や運用ルールはポリシに基づいて作る別の文書（ガイドライン、基準、手順）です。ポリシは“何を重視するか”を示す地図のようなものです。
2. 「経営は関与しなくてよい」という誤解
   • 経営が関与しないと、方針が現場に浸透しません。経営トップのコミットメントは組織全体の行動変容につながります。
3. 「製品さえ導入すればOK」
   • 製品は手段であり、運用やルールが伴わないと効果が出ません。まず方針と運用の仕組みを整えることが優先です。

補足コラム

• ポリシの階層構造
  • 一般的に情報セキュリティの文書は階層になっています。上から順に「ポリシ（方針）→ 規程・基準（どのように守るかのルール）→ 手順・設定（具体的な操作や設定）」です。これを意識すると、どの文書で何を決めるべきかが分かります。
• PDCA（Plan-Do-Check-Act：計画・実行・点検・改善）
  • 情報セキュリティの運用は PDCA サイクルで継続的に改善します。ポリシの策定は Plan にあたる部分で、経営の方針が軸になります。

FAQ