令和6年度 問94

✓ これが正解アa → b → c → d

解説

人を決め、方針を掲げ、持ち物を数え、危険を測る順です。

情報セキュリティポリシーを作るときは、まず誰が責任を負い誰が手を動かすのかを決めます。体制が無ければ何も進みません。次に、組織としてどういう姿勢で臨むのかという基本方針を掲げます。方針が先にあることで、以降の細かい判断に軸ができます。その上で、守るべき情報資産を洗い出して分類します。何を守るのかが決まって初めて、それぞれにどんな危険があるのかというリスク分析ができます。よって、体制、基本方針、資産の洗い出し、リスク分析という順になります。守る対象が決まる前に危険を測ろうとしても、何について測ればよいのかが定まりません。この前後関係が順序を決めています。

ほかの選択肢はなぜ違うのか

• イa → b → d → c：資産の洗い出しとリスク分析が入れ替わっています。何を守るのかが決まっていない段階では、どんな危険があるのかを測る対象そのものが定まりません。洗い出しが先に来る必要があります。
• ウb → a → c → d：基本方針と体制づくりが入れ替わっています。方針を掲げるにも、誰が決めて誰が承認するのかという体制が先に必要です。作る人が決まっていなければ、方針を作る作業も始まりません。
• エb → a → d → c：体制と方針が入れ替わっており、さらに洗い出しとリスク分析も入れ替わっています。二か所とも逆になった形です。前から一つずつ確かめれば、最初の並びで外れると分かります。