問題 No.4126
組織の情報セキュリティに対する取り組みの方針や行動規範を定めたものであり、経営者層が主体となって策定し、組織全体で遵守すべきものとして位置づけられる文書はどれか。
【正解の解説】
セキュリティポリシ
これは会社全体の「憲法」や「会社のルールブック」のようなものです。どんなに優秀なセキュリティ対策ツールを導入しても、社長を含む全員が守るべき共通の心構えや方針がなければ意味がありません。経営層が「うちの会社は情報セキュリティにこう向き合います」と高らかに宣言する、すべてのセキュリティ対策の土台となる最も重要な文書です。
スポンサーリンク
【その他の選択肢の解説】
セキュリティ監査
これはルールブックが守られているかをチェックする「定期健康診断」や「警察の取り締まり」のようなものです。ルールそのものを定めるセキュリティポリシの策定とは異なり、作られたルール通りに現場が動いているか、不備がないかを客観的に検査・評価するプロセスを指すため、問題文の記述とは異なります。
リスクアセスメント
これは会社にどんな危険が潜んでいるかを洗い出す「健康診断の前の問診や検査」のようなものです。何がリスクかを調べる行為自体を指しており、リスクに対してどう立ち向かうかという方針や行動規範を決定するセキュリティポリシの策定とは目的やフェーズが異なります。
インシデント管理
これは事件や事故が起きたときに出動する「救急隊や消防署の対応」のようなものです。実際にトラブルが発生したあとの事後対応プロセスを指しており、組織全体で事前に遵守すべき行動規範を定めるセキュリティポリシの策定とはタイミングや役割が全く異なります。