企業において情報セキュリティポリシー策定で行う作業のうち、次の作業の実施順序として、適切なものはどれか。 a　策定する責任者や担当者を決定する。 b　情報セキュリティ対策の基本方針を策定する。 c　保有する情報資産を洗い出し、分類する。 d　リスクを分析する。

選択肢

• アa → b → c → d
• イa → b → d → c
• ウb → a → c → d
• エb → a → d → c

正解と解説

正解：ア a → b → c → d

情報セキュリティポリシーの策定は、まず推進体制として責任者や担当者を決め、次に経営層が基本方針を打ち出します。その方針のもとで守るべき情報資産を洗い出して分類し、それぞれに対するリスクを分析して具体的な対策へ落とし込みます。資産が特定できなければリスク分析はできないため、資産の洗い出しがリスク分析より先になります。

選択肢ごとの解説

• ア体制→基本方針→資産の洗い出し→リスク分析という自然な流れです。
• イ資産を特定する前にリスク分析を置いており、順序が逆です。
• ウ体制を決める前に基本方針の策定を置いている点が不自然です。
• エ体制の決定が後回しであるうえ、資産とリスクの順序も逆です。

同じ分野の他の問題

• ISMSの活動に関する記述として、最も適切なものはどれか。2026年度 秋期 問100
• 情報セキュリティ対策を、“技術的セキュリティ対策”、“人的セキュリティ対策”及び“物理的セキュリティ対策”に分類したとき…2026年度 秋期 問94
• 次のISMSにおける実施項目のうち、最初に行うものはどれか。2026年度 秋期 問93
• 企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において、経営者に求められる役割として、…2026年度 秋期 問79
• ISMSにおける情報セキュリティインシデントの管理に関する記述のうち、適切なものはどれか。2026年度 秋期 問70