令和6年度 ITパスポート試験 公開問題 問94

正解の理由

企業における情報セキュリティポリシー策定プロセスでは、以下の順序で作業を進めるのが一般的です。

1. a 策定する責任者や担当者を決定する。
   作業を開始するにあたり、まずは推進体制を確立し、誰が責任を持って策定するかを明確にします。

2. b 情報セキュリティ対策の基本方針を策定する。
   確立した体制のもとで、経営陣の意向を反映した情報セキュリティの方向性や全体的な基本方針を定めます。

3. c 保有する情報資産を洗い出し，分類する。
   基本方針に基づき、企業が保有する保護すべき情報資産を把握し、重要度などに応じて分類します。

4. d リスクを分析する。
   洗い出された情報資産に対して、どのような脅威や脆弱性があるのかを分析し、対策の優先順位を検討します。

したがって、「a → b → c → d」の順序が適切となります。

各選択肢の解説

• ア：正解。策定体制の確立、基本方針の策定、対象資産の特定、リスク分析の正しい順序になっています。
• イ：「d リスクを分析する」より前に「c 保有する情報資産を洗い出し，分類する」を行う必要があります。守るべき資産が特定されていなければ、正確なリスク分析はできません。
• ウ：「b 情報セキュリティ対策の基本方針を策定する」より前に、その作業を主導する「a 策定する責任者や担当者を決定する」を行う必要があります。
• エ：aとbの順序、およびcとdの順序がともに逆になっており、誤りです。