令和6年度 ITパスポート 問94（テクノロジ）
出典：令和6年度 ITパスポート試験 公開問題 問94（独立行政法人情報処理推進機構（IPA））
企業において情報セキュリティポリシー策定で行う作業のうち，次の作業の実施順序として，適切なものはどれか。
a 策定する責任者や担当者を決定する。
b 情報セキュリティ対策の基本方針を策定する。
c 保有する情報資産を洗い出し，分類する。
d リスクを分析する。
- アa → b → c → d
- イa → b → d → c
- ウb → a → c → d
- エb → a → d → c
正解と解説を見る
正解：ア
【情報セキュリティポリシー策定の流れ】
情報セキュリティポリシーは、おおむね次の順で策定します。
・策定の体制を作る：策定する責任者や担当者を決める
・基本方針を策定する：組織として情報セキュリティにどう取り組むかの考え方を示す
・情報資産を洗い出す：守るべき情報資産を洗い出し、重要度などで分類する
・リスクを分析する：洗い出した情報資産ごとに、脅威や脆弱性からリスクを分析・評価する
・対策基準を策定する：リスク分析の結果を基に、具体的な対策の基準を決める
まず誰が作るかを決め、組織の方針を定めてから、守る対象を洗い出し、その対象のリスクを分析する、という順になります。リスクは情報資産ごとに分析するので、洗い出しはリスク分析より先です。
【選択肢の検討】
ア：a（体制）→ b（基本方針）→ c（情報資産の洗い出し）→ d（リスク分析）の順で、適切です。
イ：リスク分析を、情報資産の洗い出しより先に行っています。
ウ：基本方針を、策定する責任者や担当者を決める前に作っています。
エ：基本方針を体制より先に作り、リスク分析を情報資産の洗い出しより先に行っています。
よって、正解は選択肢アです。