ITパスポート試験 ITパスポート 2009年 (平成21年 秋期) 問56: 情報セキュリティポリシに関する記述のうち,適切なものはどれか。

正解

エ. 目標とするセキュリティレベルを達成するために,遵守すべき行為及び判断についての考え方を明確にすることが必要である。

正答率 57.0%（858人中 489人が正解）

問題の解説

情報セキュリティポリシは、組織が情報資産を守るための基本方針と、そのために守るべき行動や判断の基準をまとめたものである。経営者の責任で組織全体に定めて周知するもので、株主総会の承認や脆弱性の公表は求められない。

選択肢ごとの解説

• ア株主総会の承認を必須とする決まりはなく、ポリシは経営者が組織として決定し、組織内に周知するものである。
• イポリシは組織全体に共通する基本方針であり、システムごとに作るものではない。システムごとの手順は、ポリシを具体化した下位の規定で定める。
• ウ脆弱性の情報は、公表すると攻撃に悪用されるおそれがある。ポリシ策定の要因だからといって、対外的に公表する義務はない。
• エ正しい。ポリシには、目標とするセキュリティレベルを達成するために、守るべき行為や判断の考え方を明確にして示す必要がある。