解説

情報セキュリティポリシーの策定は、組織的かつ体系的に進める必要があります。最適な順序は「責任者決定→基本方針策定→資産洗い出し→リスク分析」です。まず組織の責任体制を明確にし（a）、その上で組織としての方針を定め（b）、具体的な対象となる情報資産を特定し（c）、最後にそれらに対するリスクを分析する（d）という流れが論理的です。これは家の建築に例えると、まず工事責任者を決め、設計方針を立て、必要な建材を洗い出し、起こりうる問題点を分析するという流れに似ています。

なぜ他の選択肢は違うのか

選択肢 イ

情報資産の洗い出しとリスク分析の順序が逆になっています。リスク分析（d）は、分析対象となる情報資産（c）が明確になってから行うべきです。

選択肢 ウ

基本方針（b）を決める前に責任者（a）を決めるのは不適切です。方針を決める権限を持つ責任者がまず必要です。

選択肢 エ

基本方針（b）を決める前に責任者（a）を決めるのは不適切です。また、情報資産の洗い出し（c）の前にリスク分析（d）を行うことはできません。

解くときのポイント

情報セキュリティポリシーの策定順序は、「誰が」→「何を目指して」→「何について」→「どんなリスクがあるか」という論理的な流れで考えると覚えやすいでしょう。実務でも同様の順序で進めることが多いです。