情報セキュリティ目的とは？

情報セキュリティ目的の意味

方針を実現するために、部門や階層ごとに設定する具体的な達成目標。何を、いつまでに、誰が、どの資源を使って行い、結果をどう評価するかまで定める。測定できる形にしておくことで、達成できたかどうかを後から確かめられ、次の見直しの材料になる。

情報セキュリティ目的の具体例

「今年度中に全社員の標的型メール訓練の開封率を10%以下にする」「重要サーバの更新プログラム適用を公開から14日以内に完了する率を95%以上にする」のように、担当部署と期限を添えて数値で設定する。

情報セキュリティ目的は試験でどう引っ掛けられる？

「情報漏えいを起こさない」のような達成度を測れない標語は目的として不十分とされる。また、全社で1つ掲げるだけでなく、関連する部門ごとに落とし込むことが求められる。

情報セキュリティ目的と関連する用語

• 情報セキュリティ方針（3階層）
• 有効性の測定
• 継続的改善

情報セキュリティ目的が出た過去問

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において、トップマネジメントがマネジメントレビューで考慮しなければならない事項…

  正解：前回までのマネジメントレビューの結果とった処置の状況／内部監査の結果／発生した不適合及び是正処置の状況

  要点：マネジメントレビューでは前回処置・監査結果・不適合の状況を必ず考慮する

  JIS Q 27001の9.3では、マネジメントレビューで考慮すべき事項として、前回までのレビューで取った処置の状況、内外の課題の変化、情報セキュリティパフォーマンスに関するフィードバック（不適合及び是正処置、監視・測定の結果、監査結果、目的の達成度）、利害関係者からのフィードバック、リスクアセスメントの結果、継続的改善の機会が挙げられている。したがって、前回処置の状況・内部監査の結果・不適合及び是正処置の状況の三つはいずれも規格が明記する考慮事項である。一方、情報セキュリティ目的はトップマネジメントだけが設定するものではなく、関連する部門及び階層で確立するよう求められているため、「トップマネジメントが設定した」という限定が付いた選択肢は規格の記述と合わない。

  出典：令和1年度 春期 情報セキュリティマネジメント試験 午前 問1（IPA）

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において、情報セキュリティ目的をどのように達成するかについて計画するとき、"実…

  正解："必要な資源"及び"結果の評価方法"

  要点：情報セキュリティ目的の計画では資源と評価方法まで決める

  JIS Q 27001の6.2は、情報セキュリティ目的の達成計画において、実施事項・必要な資源・責任者・達成期限・結果の評価方法の五つを決めるよう求めている。目的そのものは測定可能で監視され、伝達され、必要に応じて更新されることも要件となっている。管理策の選択はリスク対応（6.1.3）の話であり、この計画項目には含まれない。

  出典：令和1年度 春期 情報セキュリティマネジメント試験 午前 問8（IPA）