情報セキュリティポリシーに従った組織運営
更新日:
用語解説
情報セキュリティポリシーに従った組織運営とは、承認された情報セキュリティ方針や規程を、役割の分担、教育、日常の業務手順、監視、見直しに反映し、実際に守られる状態で運営することです。
■ 試験で押さえるポイント
情報セキュリティポリシーは、基本方針、対策基準、実施手順の階層で構成するのが一般的です。基本方針と対策基準をあわせてポリシーと呼ぶこともあります。
基本方針はトップマネジメントが承認し、全従業員と関係者に周知します。
規程に例外を認めるときは、申請・承認の手続を定め、記録を残します。
ポリシーは、組織や事業の変化、事故の発生、監査の結果などを踏まえて定期的に見直します。
文書 | 内容 | 例 |
|---|---|---|
基本方針 | 情報セキュリティに対する組織の考え方と方針 | 情報資産を適切に保護する |
対策基準 | 方針を実現するために守るべき規則 | パスワードは10文字以上にする |
実施手順 | 部署や業務ごとの具体的な手順 | PC設定の手順書 |
■ 過去問での着眼点
ポリシーは作って配布するだけでは不十分です。周知、教育、遵守状況の確認、見直しまで行って初めて機能します。