ITパスポート試験 ITパスポート 2024年 (令和6年) 問94: 企業において情報セキュリティポリシー策定で行う作業のうち,次の作業の実施順序として,適切なものはどれか。 a 策定する責任者や担当者を決定する。 b 情報セキュ

正解

ア. a → b → c → d

正答率 55.1%（772人中 425人が正解）

問題の解説

情報セキュリティポリシーは、まず策定の責任者や担当者を決めて体制を作り、次に組織としての基本方針を定める。その後、保有する情報資産を洗い出して分類し、守る対象に対するリスクを分析する。リスク分析は対象となる情報資産が分からないと行えないため、洗い出しの後になる。

選択肢ごとの解説

• ア正しい。責任者と担当者を決め、基本方針を策定し、情報資産を洗い出して分類してから、リスクを分析する流れである。
• イリスク分析は、対象となる情報資産を洗い出して分類した後でなければ行えない。cとdの順序が逆である。
• ウ基本方針の策定は、策定を進める責任者や担当者を決めた後に行うのが自然である。aとbの順序が逆である。
• エ責任者と基本方針の順序が逆であり、さらにリスク分析を情報資産の洗い出しより先に行っているため、誤りである。