平成21年度 秋期 ITパスポート試験 問56
テクノロジ／セキュリティ情報セキュリティポリシに関する記述のうち，適切なものはどれか。
出典：平成21年度 秋期 ITパスポート試験 問56
- ア企業のセキュリティポリシは，会社法の規定に基づき，株主総会で承認を得なければならない。
- イ企業のセキュリティポリシは，導入するシステムごとに定義する必要がある。
- ウセキュリティポリシ策定の要因となっている情報システムの脆弱性を対外的に公表しなければならない。
- エ目標とするセキュリティレベルを達成するために，遵守すべき行為及び判断についての考え方を明確にすることが必要である。
正解：エ
解説
情報セキュリティポリシは，組織が情報資産を守るための基本方針と，守るべき行為や判断の基準をまとめたものです。目標とするセキュリティレベルを達成するために，従業員が守るべき行動や判断の考え方を明確にすることが必要になります。
選択肢ごとの解説
- ア誤り。セキュリティポリシの策定に，会社法で株主総会の承認が求められているわけではありません。
- イ誤り。セキュリティポリシは組織全体の基本方針であり，システムごとに定義するものではありません。システムごとの具体的な手順などは，ポリシに基づいて別途定めます。
- ウ誤り。脆弱性を対外的に公表する義務はありません。むしろ，脆弱性の詳細は公表すると悪用されるおそれがあります。
- エ正しい。目標とするセキュリティレベルを達成するための行為と判断の考え方を明確にするのが，ポリシの役割です。