ある会社では、ウイルス対策ソフトとファイアウォールを導入済みだが、 書類の持出しや私物USBメモリの利用は社員それぞれの判断に任せている。 情報セキュリティマネジメントの進め方として、最も適切なものはどれか。

正解：イ

1. アより高性能なセキュリティ製品に入れ替え、技術的な防御を強化することを優先する。

   誤り。製品の強化は対策の一部にすぎません。 書類の持出しや離席時の画面ロックなど、人の行動に関わる領域は製品では守れません。 技術的対策と組織的・人的対策を組み合わせる必要があります。

2. イ守るべき情報とリスクを整理し、経営者が承認した情報セキュリティポリシーに基づいて運用する。

   正解。何をどこまで守るかを組織として決め、文書にして全員に適用するのが出発点です。 基準があるから、社員の判断もぶれず、守られているかを確認できます。

3. ウ事故が起きた時点で、その都度必要な対策を検討し、関係する部門に個別に指示する。

   誤り。事後の対応だけでは、同じ弱点が他の部門に残ったままになります。 マネジメントは、起こる前にリスクを見積もって手を打ち、 定期的に見直して改善を続ける営みです。

4. エ対策の内容は情報システム担当者に一任し、経営者は結果の報告だけを受けるようにする。

   誤り。どこまでのリスクを受け入れるかは経営判断であり、担当者では決められません。 予算や人の配分も経営者が決めます。方針の承認と資源の提供は 経営層の役割として外せません。