ITパスポート 2011年 春期 問63

情報セキュリティの基本方針に関する記述【ITパスポート 解説】

正解の理由

解法ステップ

1. 「基本方針」の語意を確認する：高いレベルの方針（具体的手順ではない）かを判断する。
2. 各選択肢が「高レベル（方針）」か「低レベル（基準・手順）」かを分類する。
3. 方針には経営層の承認が必要かを確認する（必要である）。
4. 高レベルで経営層承認と合致する選択肢を選ぶ。

選択肢別の誤答解説

• ア: 機密情報の漏えいを防ぐために、経営上の機密事項とする。
  • 誤り。基本方針は組織全体に周知して守らせるための方針です。方針自体を「機密」にしてしまうと周知ができず、従業員が従えなくなります。機密情報は別途「機密情報の扱いに関する規程」で管理します。
• ウ: 情報セキュリティの対策基準に基づいて策定する。
  • 誤り。順序が逆です。基本方針がまずあり、その方針に沿って「対策基準（基準：何を守るか、守るための基準）」や具体的な手順を策定します。方針→基準→手順、の順が正しい階層です。
• エ: パスワードの管理方法や文書の保存方法を具体的に規定する。
  • 誤り。これは具体的な運用ルールや手順です。パスワード管理や文書保存の詳細は「手順書」や「運用規程」に書くもので、基本方針としては「適切に管理する」など高レベルな表現にとどめます。

よくある誤解

• 方針＝細かいルールと思い込む
  • 方針は「方向性」です。例：「顧客情報を適切に保護する」といった大枠で、細かいルールは別文書にします。
• 方針はIT部門だけが作ると思う
  • 誤り。方針は経営層が承認することで効力を持ちます。IT部門は作成支援や技術的な助言をしますが、最終承認は経営側です。
• 方針は一度作れば終わりだと思う
  • 誤り。法改正や環境変化にあわせて定期的に見直す必要があります。

補足コラム

• 基本方針（方針：何を大切にするか、経営層が承認）
• 対策基準（基準：守るべき最低要件やルールの枠組み）
• ガイドライン／運用規程（より具体的な指針）
• 手順書（手順：実際の操作や方法）

FAQ