問71
頻出度★★★
企業における ISMS の活動において, 自社で取り扱う情報資産の保護に関する基本的な考え方や取組み方を示したものはどれか。
平成28年度 秋期 ITパスポート試験 問71
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 71
不正解ア
BCP（事業継続計画）は、災害や事故などで業務が中断したときに、重要業務を継続・早期復旧させるための計画である。情報資産保護の「基本的な考え方」を示す文書ではないため誤り。
不正解イ
ISMS 要求事項（JIS Q 27001／ISO/IEC 27001 が定める要求事項）は、ISMS を構築・運用するために満たすべき規格上の条件であり、規格側が課す基準である。自社の基本的な考え方を宣言した文書ではないため誤り。
不正解ウ
PDCA は Plan（計画）・Do（実行）・Check（点検）・Act（改善）を繰り返し ISMS を継続的に改善するための管理サイクル（手法）であり、基本的な考え方を「示した文書」ではないため誤り。
- エ
正解 正解は「エ 情報セキュリティ方針」。情報セキュリティ方針とは、組織が情報資産をどう守るかについての「基本的な考え方・取組み方」を経営陣が宣言した最上位の文書であり、ISMS 文書体系の頂点に位置する。設問が問う「自社で取り扱う情報資産の保護に関する基本的な考え方や取組み方を示したもの」は、まさにこの情報セキュリティ方針そのものである。この方針を土台に、より具体的な対策基準や実施手順が定められる。
ここがポイント
- 情報セキュリティ方針＝組織が情報資産保護の基本的な考え方・取組み方を宣言した最上位文書（経営陣が策定）。
- ISMS の文書体系は「方針（基本方針）→対策基準→実施手順」の階層で構成され、方針が最上位に位置づけられる。
用語