問題 No.5924
組織における情報セキュリティ方針（基本方針）の策定および運用に関する記述として不適切なものはどれか。
【正解の解説】
情報セキュリティ方針は組織の経営方針や経営環境の変化に関わらず、一度策定した内容は長期にわたって固定的に維持すべきものである。
これは会社の方針をガラパゴス化させる非常に危険な考え方です。例えば、スマホやAIが普及し、サイバー攻撃の手口が毎日のように進化しているのに、大昔に作ったルールを頑なに守り続けていたら、会社はあっという間にハッカーの餌食になってしまいます。経営環境や技術の変化に合わせて、ルールは生き物のように柔軟にアップデートし続ける必要があるのです。
スポンサーリンク
【その他の選択肢の解説】
情報セキュリティ方針の策定にあたっては、経営陣だけでなく現場の担当者も含めた幅広いステークホルダーの意見を反映させることが望ましい。
現場の意見を無視して経営陣だけで机上の空論を作ってしまうと、実際の業務が全く回らなくなり、社員がルールを無視する原因になります。これは「鍵をかけたけど窓を全開にしていた」ような本末転倒な状態を生むため、実際に手を動かす現場の声を取り入れることがセキュリティ対策の成功の秘訣となります。
情報セキュリティ方針は、組織の資産価値や取り扱う情報の重要性に応じて、適切なセキュリティ対策の基準や目標を定めるものである。
全ての情報に金庫の鍵をかける必要はありません。例えば、一般に公開されている会社のパンフレットと、極秘の新製品開発データでは、守るべき重要度が全く異なります。すべてのデータに同じコストをかけるのは無駄なので、情報の価値に応じて「ここは厳重に、ここは普通に」とメリハリをつけるための基準を定めるのがセキュリティ方針の役割です。
情報セキュリティ方針で示された方向性は、関連する法令や規制の改正、および新たな脅威の出現に応じて定期的に見直す必要がある。
法律やサイバー攻撃の手口は昨日まで安全だったものを翌日には古いものにしてしまいます。車の運転免許のルールや車の車検が定期的に見直されるのと同様に、セキュリティ方針も「一度作ったら終わり」ではなく、定期的な健康診断のように必ず見直しを行い、現在の脅威に合わせたメンテナンスを継続することが求められます。