【ITパスポート練習問題 6.3対応】(2) 情報セキュリティ管理

正解
2　情報の機密性、完全性、可用性を確保すること

解説
情報セキュリティポリシーの主な目的は情報の機密性、完全性、可用性を確保することです。組織の情報資産を保護し、業務の継続性を維持することができます。

財務状況の改善やマーケティング戦略の強化は、情報セキュリティポリシーの直接的な目的ではありません。

正解
2　組織の全体戦略と市場分析

解説
情報セキュリティポリシーにはセキュリティ対策の目的や適用範囲、従業員の遵守すべきルールなどが含まれますが、組織の全体戦略や市場分析は含まれません。情報セキュリティポリシーは情報資産の保護に焦点を当てたものであり、経営戦略や市場分析は別のドキュメントで扱います。

正解
1　法律や規制の変更に対応するため

解説
情報セキュリティポリシーの定期的な見直しは法律や規制の変更に対応し、最新の脅威や技術に適応する上で必要です。定期的な見直しにより組織の情報セキュリティを常に適切に維持することができます。

ブランドイメージの向上や財務報告の正確性は、情報セキュリティポリシーの見直しの直接的な理由ではありません。

正解
3　必要なときに情報が利用可能であること

解説
情報セキュリティの「可用性」は必要なときに情報が利用可能であることを意味します。可用性があることで業務が中断することなくスムーズに進行することが可能になります。

機密性は情報が許可された者だけにアクセスされること、完全性は情報が正確で完全であることを指します。

正解
3　システムの定期的なバックアップ

解説
情報セキュリティの「機密性」を確保するためにはパスワード管理の強化や暗号化の実施が有効で、情報が許可された者だけにアクセスされることが保証されます。

一方、システムの定期的なバックアップは、主に可用性を確保するための対策であり、機密性の確保とは直接的に関係ありません。

正解
1　誰が何を行ったかを追跡できる能力

解説
「責任追跡性」は、誰が何を行ったかを追跡できる能力を指します。セキュリティインシデントが発生した場合に迅速に対応し、責任の所在を明確にすることが可能です。

否認防止は後から行動を否認できないようにすること、信頼性は情報が一貫して正確で信頼できることを意味します。

正解
2　リスクの特定、分析、評価、対応策の実施

解説
情報セキュリティリスクの評価ではリスクの特定、分析、評価、対応策の実施が最も重要です。リスクを効果的に管理し、情報資産の安全を確保することができます。

マーケティング戦略の見直しや財務状況の改善は、情報セキュリティリスクの評価における直接的な要素ではありません。

正解
1　セキュリティ教育の実施

解説
情報セキュリティリスクに対する適切な対応策としてはセキュリティ教育の実施が重要で、従業員のセキュリティ意識が向上し、リスクの低減につながります。

新製品の市場投入や財務報告の正確性向上は、情報セキュリティリスクへの直接的な対応策とは言えません。

正解
1　ハッキングやウイルス感染

解説
情報セキュリティリスクの一例としてはハッキングやウイルス感染が挙げられます。これらは情報資産に損害を与える可能性があり、適切な対策が必要です。

企業の株価上昇や新規市場の開拓は情報セキュリティリスクとは直接関係がありません。

正解
2　リスクに関する情報を関係者間で共有し理解を深めること

解説
リスクコミュニケーションの主な目的はリスクに関する情報を関係者間で共有し理解を深めることです。適切なリスク管理を行うことで組織の安全性を向上させることに繋がります。

財務状況の改善や市場シェアの拡大はリスクコミュニケーションの直接的な目的ではありません。

正解
3　新製品の市場投入計画

解説
リスクコミュニケーションにはリスクの特定や評価結果、対策の実施状況などが含まれ、関係者間でリスクに対する認識を共有し、適切な対応策を講じることができます。

新製品の市場投入計画はリスクコミュニケーションの範疇ではありません。

正解
1　組織内外の関係者との信頼関係を築くため

解説
リスクコミュニケーションが重要な理由は、組織内外の関係者との信頼関係を築き、リスク管理の効果を高めるためです。関係者全員がリスクの存在を認識し、適切な対応策を講じることができます。

ブランドイメージの向上や新規市場の開拓は、リスクコミュニケーションの直接的な目的ではありません。

正解
3　ハッキングやデータ漏洩

解説
情報セキュリティインシデントの例としては、ハッキングやデータ漏洩が挙げられます。これらは情報資産に損害を与える事象であり、迅速かつ適切な対応が必要です。

新製品の市場投入や財務状況の改善は、情報セキュリティインシデントとは直接関係がありません。

正解
1　インシデントの検知

解説
情報セキュリティインシデントが発生した場合、まず行うべき対応はインシデントの検知です。これにより、迅速に対策を講じ、被害の拡大を防ぐことが可能となります。

従業員の安全確保や財務状況悪化への影響を確認することは情報セキュリティインシデントの対応としては直接的な関係はありません。

正解
2　セキュリティ対策の見直しと強化

解説
情報セキュリティインシデントの再発防止策としては、セキュリティ対策の見直しと強化が適切であることです。見直しを行うことで同様のインシデントが再発するリスクを低減できます。

マーケティング戦略の見直しや経営体制の見直しは、情報セキュリティインシデントの再発防止策としては適切ではありません。

正解
2　改善のための計画の立案

解説
PDCAサイクルの「Plan」は改善のための計画の立案を指し、具体的な目標や達成手段を明確にし、次の段階に進む準備を行います。

実行や評価は、それぞれ「Do」や「Check」に該当します。Action（改善）は評価した結果に対して継続、中止、改善を判断し、Plan（計画）に繋げていきます。

正解
1　セキュリティ対策の効果を持続的に高めるため

解説
継続的改善が情報セキュリティ管理において重要な理由は、セキュリティ対策の効果を持続的に高めるためです。これにより常に最新の脅威に対応し、情報資産の保護を強化できます。

正解
3　改善策の策定と実施

解説
PDCAサイクルの「Act」は、継続、中止、改善の判断を行い、改善策と実施内容を策定しPlan（計画）に繋げるものです。

結果の評価は「Check」、実行は「Do」に該当します。