問62
頻出度★★★
ISMSの情報セキュリティ方針に関する記述として, 適切なものはどれか。
平成27年度 秋期 ITパスポート試験 問62
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 62
- ア
正解 情報セキュリティ方針 (基本方針) は、組織が情報セキュリティにどう取り組むかを示す最上位の意思表明であり、ISMS では組織を統率するトップマネジメント (経営陣) が確立し、承認・支持することが求められる。方針に経営陣が責任を持つことで、全社的な取組みとしての正当性と実効性が担保される。したがって「トップマネジメントが確立しなければならない」とするアが適切。
不正解イ
情報セキュリティ方針のうち基本方針は、取引先や顧客・社会に対して自組織の姿勢を示すため、むしろ社外へ公表することが一般的である。「社外に公表してはならない」は誤り (詳細な対策基準・実施手順は非公開とする点と混同している)。
不正解ウ
情報セキュリティ方針は、事業環境・脅威・法令の変化に合わせて定期的に見直し、必要に応じて改訂すべきもの (PDCA による継続的改善)。「一度制定したら変更できない」は誤り。
不正解エ
情報セキュリティ方針は、扱う情報の種類にかかわらず全従業者へ周知し、遵守させる必要がある。個人情報や機密情報を扱わない従業者であっても対象で、「周知しなくてもよい」は誤り。
ここがポイント
- 情報セキュリティ方針 (基本方針) はトップマネジメント (経営陣) が確立・承認する組織の最上位の意思表明であること。
- 方針は基本方針として社外公表もあり得て、環境変化に応じて見直し (PDCA) し、全従業者へ周知・遵守させるものであること。
用語