情報セキュリティポリシーと組織体制の一問一答

情報セキュリティポリシーの一般的な階層構造として、最も適切なものはどれか。

• ①実施手順、対策基準、基本方針の順に、下位の文書ほど抽象的な内容になる。
• ②基本方針と実施手順の2階層のみで構成され、対策基準という中間層は存在しない。
• ③基本方針を最上位とし、対策基準、実施手順へと段階的に具体化される構造をとる。
• ④対策基準を最上位とし、基本方針は実施手順の中に記載される位置づけとなっている。

組織における「CISO(最高情報セキュリティ責任者)」の役割として、最も適切なものはどれか。

• ①経営層の一員として、組織全体の情報セキュリティの方針決定と統括責任を担う。
• ②サーバやネットワーク機器の設定作業を、自ら行う現場の技術担当者を指す。
• ③社外からの問い合わせのみに対応する、カスタマーサポート部門の責任者を指す。
• ④情報セキュリティ監査の際に、外部から派遣される監査人を指す肩書である。

「情報セキュリティ委員会」の役割に関する記述として、最も適切なものはどれか。

• ①情報システム部門のみで構成され、機器の保守スケジュールを調整する会議体をいう。
• ②特定の取引先とのみ非公開の情報を共有するために設置される、営業目的の会議体をいう。
• ③システム開発のプログラムコードを直接レビューする、開発チーム内の作業部会をいう。
• ④経営層や各部門代表が参加し、情報セキュリティ重要事項を審議決定する会議体をいう。

内部不正防止の観点から重視される「職務の分離」の説明として、最も適切なものはどれか。

• ①一人の担当者にできるだけ多くの権限を集中させ、業務効率を高めること。
• ②取引の承認と実行など、相互に牽制すべき職務を異なる担当者に分担させること。
• ③全ての従業員に同一のシステム権限を、区別なく一律に付与すること。
• ④退職者の情報にのみアクセス権限を制限し、在職者には特に制限を設けないこと。

ISMSにおける内部監査と外部審査の違いに関する記述として、最も適切なものはどれか。

• ①内部監査は認証機関の審査員のみが実施でき、自組織の従業員は担当できない。
• ②外部審査は組織内の一部門が自主的に実施するもので、認証機関は関与しない。
• ③内部監査は自組織が運用状況を点検し、外部審査は認証機関が適合性を評価する。
• ④内部監査と外部審査は名称が違うだけで、実施主体・目的とも完全に同一である。

多くの組織における「情報セキュリティ基本方針」の公表範囲に関する記述として、最も適切なものはどれか。

• ①従業員だけでなく、Webサイト等を通じて社外にも公表されることが一般的である。
• ②極秘文書として扱われ、役員以外には一切開示してはならないとされる。
• ③取引先企業にのみ配布され、自組織の従業員には周知しないものとされる。
• ④監督官庁へ提出することのみを目的とし、一般には公開してはならないものとされる。

情報セキュリティ対策基準や実施手順の見直しに関する記述として、最も適切なものはどれか。

• ①一度制定した内容は法的効力を持つため、以後一切改定してはならない。
• ②組織状況や脅威の変化、監査結果等を踏まえ、定期的・随時に見直しを行う。
• ③改定は経営層の関与を必要とせず、現場担当者の裁量のみで随時変更してよい。
• ④改定の要否は、5年に一度の国の検査の際にのみ判断されるとされる。

ISMSにおける「マネジメントレビュー」の目的として、最も適切なものはどれか。

• ①現場のシステム管理者が、サーバのログを日常的に監視するために行う。
• ②情報システムの脆弱性診断ツールの設定を、技術的に調整するために行う。
• ③内部監査員が、個々の是正処置の実施状況を現場で確認するために行う。
• ④トップマネジメントがISMSの適切性を評価し、改善の方向を示すこと。

ISMSにおける「是正処置」に関する記述として、最も適切なものはどれか。

• ①検出された不適合の原因を特定し、再発防止のために必要な対策を講じること。
• ②不適合が発生する前に、発生しそうな箇所をあらかじめ全て廃止すること。
• ③監査で発見された事実をそのまま記録し、対策は一切講じずに保管しておくこと。
• ④従業員の懲戒処分の内容を決定し、人事部門へその内容を通知すること。

策定した情報セキュリティ関連規程を組織内に定着させる取組みとして、最も適切なものはどれか。

• ①規程を策定した時点で目的は達成されたとみなし、以後の周知活動は行わない。
• ②規程の内容は経営層のみが把握していればよく、一般従業員への周知は不要である。
• ③研修や説明会、社内掲示等を通じて周知し、理解度を教育や訓練で確認する。
• ④規程の内容を外部の第三者にのみ公開し、自組織の従業員には非公開とする。