ITパスポート 2024年 問94

企業における情報セキュリティポリシー策定の作業順序【ITパスポート 解説】

正解の理由

• a（策定する責任者や担当者を決定する）は最初に行います。責任者が決まっていないと方針の決定や実行の権限・調整が曖昧になります。これは「だれが指揮するか」を定めるガバナンス（組織の管理体制）に当たります。
• b（情報セキュリティ対策の基本方針を策定する）は次です。情報セキュリティポリシー（情報を守る上での方針や原則。英語では“policy”）は組織の方向性を示します。方針がないと、何を重視して守るかがブレます。
• c（保有する情報資産を洗い出し、分類する）は方針に沿って何を守るかを明確にする作業です。情報資産は「守るべきもの」（データ、システム、契約書、人的資源など）を指します。
• d（リスクを分析する）は最後です。リスク分析（リスクアセスメント：Risk Assessment。脅威や脆弱性が資産に与える影響を評価する作業）は、資産が明確になって初めて意味を持ちます。

解法ステップ

1. 問題文の各作業を短く言い換える。例：a=担当者決定、b=方針策定、c=資産棚卸、d=リスク分析。
2. 「まず誰がやるか（ガバナンス）か」「方針（方針は高レベル）か」「具体的な調査（資産）か」「評価（リスク）」の順で考える。
3. 方針は高レベルな指針なので、細かい調査（資産洗い出し）は方針の後に行うと判断する。
4. その判断で順序が一致する選択肢を選ぶ。上記だと a→b→c→d、つまり ア。

選択肢別の誤答解説

• ア（a → b → c → d）
  正しい順序です。責任者決定→方針決定→資産洗い出し→リスク分析の流れが実務・理屈ともに整っています。
• イ（a → b → d → c）
  初めの2つは良いですが、d（リスク分析）をc（資産洗い出し）の前に行っている点が問題です。リスク分析は「何に対してリスクを評価するか」が明確でないと正確にできません。資産が未整理の段階でリスク評価すると抜け漏れや評価ミスが起きます。
• ウ（b → a → c → d）
  b（方針）を先にしているため、方針を作る責任や実行体制が定まらないまま方針を決めることになります。実務では、誰が最終決定・実行するかを先に決めて方針作成に責任を持たせるのが望ましいです。
• エ（b → a → d → c）
  b→aの順序の問題に加え、d（リスク分析）をc（資産洗い出し）の前に行っている点でも誤りです。両面で順序が不適切です。

よくある誤解

1. 「リスク分析を先にやれば脅威がわかるのでよい」
   → リスクを評価するには何を守るか（資産）が前提です。資産が分からないと評価対象が抜けます。
2. 「方針は後で決めても問題ない」
   → 方針は優先順位や許容リスク（どこまで許容するか）を示します。これがないと資産の分類や対策の判断基準がブレます。
3. 「責任者は形式的で誰でもよい」
   → 責任者が曖昧だと意思決定や実行、継続的な見直しが滞ります。明確な担当者が不可欠です。

補足コラム

• 情報資産の例：顧客データベース、ソースコード、設計図、契約書、業務担当者の知識・ノウハウ、サーバ（サービスを提供するコンピュータ）など。
• リスク分析の流れ（簡単版）：資産を特定 → 脅威（攻撃や事故）と脆弱性（弱点）を想定 → 発生確率と影響度を評価 → 優先度を付けて対策決定。リスクはよく $Risk=Likelihood\times Impact$（発生確率×影響度）で考えます。
• 規格の参考：ISMS（Information Security Management System：情報セキュリティ管理体系）の考え方だと、「方針の策定→資産管理→リスクアセスメント→対策実施→評価・改善（PDCA）」の流れが推奨されます。

FAQ