情報セキュリティとは（機密性・可用性・完全性）【ITパスポート講座】

機密性・完全性・可用性は、情報セキュリティにおいて維持管理すべき三要素でした。それぞれの概要は以下の通りです。

上記をもとに、それぞれの選択肢を確認しましょう。

a.アクセス制御
⇒アクセス制御は、許可されたユーザー以外を情報資産にアクセスさせない仕組みです。したがって、機密性を確保するための対策です。

b.デジタル署名
⇒デジタル署名は、受信したデータの改ざんを検知する仕組みです。したがって、完全性を確保するための対策です。

c.ディスクの二重化
⇒ディスクの二重化は、片方のディスクに障害が発生したときでも、もう一方のディスクのデータを利用する仕組みです。したがって、可用性を確保する対策です。

これより、正しい組み合わせは「エ」です。

情報セキュリティポリシーとは、企業や組織などの情報セキュリティに関する目標と、その目標を達成するために企業・組織がとるべき行動を社内外に宣言する文書です。

総務省によると、情報セキュリティポリシーの代表的な策定手順は次のように定められています。

参考：情報セキュリティポリシーの策定

この策定手順をもとに考えると、まずはセ策組織の決定が最初なので「a.策定する責任者や担当者を決定する」となります。次に行うのは基本方針の決定なので「b.情報セキュリティ対策の基本方針を策定する」です。

そして情報資産の洗い出し、リスク分析とその対応と続くので「c.保有する情報資産を洗い出し，分類する」となり、最後に「d.リスクを分析する」となります。

したがって、a → b → c → d となる「ア」が正解です。

情報セキュリティポリシーは、組織が保有する情報資産の情報セキュリティ対策について総合的・体系的かつ具体的にとりまとめたものです。

一般的にセキュリティポリシーは、以下3つの要素で構成されます。

参考：サイバーセキュリティ経営ガイドラインVer.3.0

ア：基本方針は，対策基準や実施手順を定めるためのトップマネジメントの意思を示したものである。
⇒基本方針は、経営者が「情報セキュリティに本格的に取り組む」という姿勢を示し、情報セキュリティの目標と、その目標を達成するために企業がとるべき行動を社内外に宣言するものです。したがって正解です。

イ：実施手順は，基本方針と対策基準を定めるために実施した作業の手順を記録したものである。
⇒実施手順は、基本方針と対策基準を確実に実行するための個々の業務手順・運用規則・マニュアルに相当します。基本方針と対策基準を作成するための作業手順ではありません。したがって誤りです。

ウ：対策基準は，ISMSに準拠した情報セキュリティポリシーを策定するための文書の基準を示したものである。
⇒対策基準は、基本方針で定めた目的を達成するために組織として実施すべき全体的なルールを記述するものです。したがって誤りです。

エ：対策基準は，情報セキュリティ事故が発生した後の対策を実施手順よりも詳しく記述したものである。
⇒実施手順には、対策基準を実施する際の詳細な手順が定められます。したがって、対策基準よりも実施手順のほうが詳しく記述されるので誤りです。