問73
頻出度★★★
情報セキュリティマネジメントシステムを構築した企業において, 情報セキュリティ方針を改訂したことを周知する範囲として, 適切なものはどれか。
平成28年度 春期 ITパスポート試験 問73
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 73
不正解ア
「機密情報を扱う部署の従業員」だけでは範囲が狭すぎる。情報セキュリティ方針は特定部署ではなく組織全体・全従業員に適用される基本方針であり、機密情報を直接扱わない従業員も対象となる。
不正解イ
「経営者」は方針を承認・表明する立場だが、経営者だけに周知しても現場で方針が守られない。周知の対象は方針を実際に守るべき全員であり、経営者に限定するのは誤り。
- ウ
正解 情報セキュリティ方針は組織のセキュリティ活動の土台となる基本ルールであり、ISMS では「全ての従業員及び関連する外部関係者」に周知することが原則である。方針を改訂したときも同じ範囲へ周知しなければ、旧ルールのまま行動する人が残り、実効性が損なわれる。委託先・取引先などの外部関係者も方針の対象に含まれるため、正解は「ウ」となる。
不正解エ
「セキュリティ管理者」は方針の運用・管理を担うが、管理者だけに周知しても組織全体には行き渡らない。方針は全従業員および外部関係者へ広く伝える必要があり、範囲が狭すぎて不適切。
ここがポイント
- 情報セキュリティ方針は組織全体の基本ルールであり、全ての従業員および委託先・取引先などの関連する外部関係者へ周知するのが ISMS の原則である。
- 方針を新規策定したときだけでなく改訂したときも、同じく全従業員・関連外部関係者へ周知し、周知範囲を一部に限定してはならない。
用語