企業において情報セキュリティポリシー策定で行う作業のうち，次の作業の実施順序として，適切なものはどれか。 a 策定する責任者や担当者を決定する。 b 情報セキュリティ対策の基本方針を策定する。 c 保有する情報資産を洗い出し，分類する。 d リスクを分析する。

なぜ違う: リスク分析(d)は対象資産を洗い出し分類した(c)後に行うため、d→cの順は誤り。

なぜ違う: 基本方針(b)策定の前に責任者・担当者の決定(a)が必要であり、b→aの順は誤り。

なぜ違う: 責任者決定(a)が基本方針(b)より後で、かつリスク分析(d)が資産分類(c)より先になっており誤り。

要点: 責任者決定→基本方針策定→資産洗い出し→リスク分析の順。

まず策定する責任者・担当者を決め（a）、次にトップが基本方針を定め（b）、対象となる情報資産を洗い出して分類し（c）、最後にそれらに対するリスクを分析する（d）。順序は a→b→c→d。アが正解。

App Store

ITパスポートの学習アプリ（ITパストレ）