平成23年度 秋期 ITパスポート試験 問83

情報セキュリティ基本方針は一度決めたら不変というものではありません。情報セキュリティマネジメントシステム (ISMS) は PDCA サイクル (計画・実行・点検・改善) によって継続的に改善することを前提としており、方針も定期的な見直しの対象です。事業内容や組織体制の変更、新しい技術やサービスの導入、新たな脅威や法令・規制の改正などによって前提が変われば、方針を改訂して実態に合わせる必要があります。変化しても変更すべきでないという記述は、この継続的改善の考え方に真っ向から反するため誤りです。

セキュリティビジネスを拡大するための重点的な取組みとは、セキュリティ関連の商品やサービスをどう売り伸ばすかという事業戦略・経営計画の話であり、株主や一般に公開されるとしても、それは経営方針や中期経営計画などの文書に属します。情報セキュリティ基本方針が扱うのは、自組織が保有する情報資産をどのような姿勢で守るかであって、収益を上げるための事業展開ではありません。公表されるという点だけが正解の記述と共通していますが、宣言している中身がまったく別物であるため誤りです。

組織のセキュリティの考え方に基づいて具体的なセキュリティ施策を述べたものは、基本方針の下位に位置する「対策基準」や、さらにその下の「実施手順」に当たります。前半の「組織のセキュリティの考え方に基づいて」という表現自体が、上位に別の文書 (すなわち基本方針) が存在することを示しており、この選択肢が基本方針そのものではないことを裏付けています。基本方針は理念と姿勢を宣言する層であり、具体的な施策の内容までは記述しません。階層を一段取り違えた記述であるため誤りです。