ITパスポートの過去問
令和6年度
テクノロジ系 問39

a　策定する責任者や担当者を決定する。

ポリシー策定における最初のステップは、責任者や担当者を決めることです。これにより、後続の作業を進めるためのリーダーシップが確保されます。

b　情報セキュリティ対策の基本方針を策定する。

責任者が決まったら、組織の情報セキュリティに関する基本方針を策定します。この方針がその後の具体的な対策や手続きの基盤となります。

c　保有する情報資産を洗い出し、分類する。

基本方針を策定した後は、実際に組織が保有している情報資産を特定し、それらを適切に分類します。この作業はリスク分析の前に行う必要があります。

d　リスクを分析する。

情報資産が特定されたら、その資産に対するリスクを分析します。これにより、どの資産がどのようなリスクにさらされているかを理解することができます。

最初に責任者を決定し、次に基本方針を策定し、その後情報資産を洗い出し、最後にリスクを分析するという流れです。この順序が最も適切です。

基本方針を策定する前に、まず責任者を決定する必要があります。この順序では責任者の決定が遅れるため、適切ではありません。

リスク分析は、情報資産の分類後に行われるべきです。この順序ではリスク分析が早すぎるため不適切です。

基本方針を策定する前に、責任者を決定する必要があります。また、リスク分析が情報資産の分類前に行われているため、この順序も不適切です。

正解です。

責任者や担当者を決定してから情報セキュリティ対策の基本方針を策定するので、不正解です。

最後にリスクを分析するので、不正解です。

不正解です。