平成21年度 春期 問54

✓ これが正解イ経営トップは情報セキュリティポリシに対する会社の考え方や取組み方について，社員への説明を率先して推進しなければならない。

解説

方針というものは、上が率先して示さなければ根づきません。

情報セキュリティポリシーは、会社としての構えを示す文書です。どんな考えで何に取り組むのかを、まず上が言葉にして示します。経営の頂に立つ人が率先して社員へ説くと述べた肢が当たります。上が本気だと伝わらなければ、現場は後回しにしてしまうからです。守るべき行いと判じる基準を最初に作る、という肢は順序が違いました。先に来るのは基本の方針で、細かい基準はその下に置かれます。対策の道具へ設定すべき中身を定める、という肢はさらに下の層でした。個々の製品ごとの手順にあたり、方針そのものではありません。目標の水準を達するために入れる製品を決める、という肢も同じです。何を買うかは手立ての話で、構えを定める段ではありませんでした。三つとも必要なことですが、上から順に並べると置き場所が違います。

ほかの選択肢はなぜ違うのか

• ア各セキュリティ対策ソフトウェアに設定すべ…：対策の道具へ設定すべき中身を定めるとします。実際に守るには、確かに欠かせない詰めでした。ところがこれは、いちばん下の層にあたります。会社としての構えを示す文書ではありません。個々の設定なら、これが答えにあたります。
• ウ情報セキュリティポリシの策定においては最…：守るべき行いと判じる基準を最初に作るとします。どちらも方針の下に置かれる、必要な決めごとです。ところが最初に来るのは、基本の方針でした。基準はその方針を受けて作られていきます。二段目の決めごとなら、これが答えです。
• エ目標とするセキュリティレベルを達成するた…：目標の水準へ達するため、入れる製品を決めるとします。備えを整えるうえで、確かに必要になります。ところが何を買うかは、手立ての話でした。構えそのものを定める段ではありません。道具を選ぶ話なら、これが答えにあたります。