情報セキュリティ目標を定めるにあたって決定しなければならない事項｜情報セキュリティマネジメント 平成31年 春期午前試験 問8

まず押さえたいこと

情報セキュリティ目的を達成するための計画では、何を実施するか、どの資源が必要か、誰が責任をもつか、いつまでに達成するか、結果をどのように評価するかを明確にします。目的を掲げるだけでなく、実行と評価まで具体化することが重要です。

迷ったときの判断軸

「目的を達成するための計画」とあれば、実施事項・必要な資源・責任者・達成期限・結果の評価方法という一連の要素を押さえましょう。「適用する管理策」はリスク対応などで検討する事項であり、情報セキュリティ目的の達成計画で列挙される項目とは区別します。

科目Bにつなげるために

科目Bでは、「セキュリティを強化する」といった抽象的な目標だけでなく、担当者、必要な人員・予算、期限、達成度を判断する指標まで具体化できているかを見ることが重要です。対策の実施だけで終わらず、結果を評価して次の改善につなげる視点を持ちましょう。