令和6年度 ITパスポート試験 問94
テクノロジ／セキュリティ企業において情報セキュリティポリシー策定で行う作業のうち，次の作業の実施順序として，適切なものはどれか。 a 策定する責任者や担当者を決定する。 b 情報セキュリティ対策の基本方針を策定する。 c 保有する情報資産を洗い出し，分類する。 d リスクを分析する。
出典：令和6年度 ITパスポート試験 問94
- アa → b → c → d
- イa → b → d → c
- ウb → a → c → d
- エb → a → d → c
正解：ア
解説
情報セキュリティポリシーの策定は，まず策定を進める責任者や担当者（推進体制）を決め（a），その体制で基本方針を定めます（b）。続いて，保有する情報資産を洗い出して分類し（c），その資産に対するリスクを分析します（d）。リスクは対象の情報資産が分かって初めて分析できるので，c は d より前です。
選択肢ごとの解説
- ア正しい。責任者・担当者の決定→基本方針の策定→情報資産の洗い出し→リスク分析の順で，適切です。
- イ誤り。リスク分析（d）を情報資産の洗い出し（c）より前に行っており，不適切です。分析する対象の資産が先に必要です。
- ウ誤り。基本方針の策定（b）を責任者・担当者の決定（a）より前にしており，策定作業の体制が決まっていないので不適切です。
- エ誤り。b が a より前，d が c より前になっており，不適切です。