問68
頻出度★★★
全社を適用範囲として ISMS を導入する場合の情報セキュリティ方針に関する記述のうち, 適切なものはどれか。
平成29年度 秋期 ITパスポート試験 問68
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 68
不正解ア
同じ業種でも、企業ごとに保有する情報資産・事業内容・想定されるリスク・経営方針が異なるため、方針の記述内容は各社固有になる。業種が同じというだけで内容が同一になることはない。
不正解イ
PC の設定ルールのような具体的・技術的な取り決めは、方針より下位の「対策基準」や「実施手順」で定めるもの。情報セキュリティ方針は取組みの理念・目的を示す上位文書であり、個々の設定ルールそのものではない。
- ウ
正解 情報セキュリティ方針 (基本方針) は、組織が情報セキュリティにどう取り組むかの意思を示す最上位の文書であり、ISMS ではトップマネジメント (経営陣) の主導のもとで確立・承認し、全従業員へ周知することが求められる。全社を適用範囲とするなら、なおさら経営層が責任を持って全社統一の方針を定める必要がある。したがって「トップマネジメントが確立しなければならない」とするウが適切。
不正解エ
全社を適用範囲とする場合、基本方針は全社で統一して定めるべきもの。部門ごとに個別最適化した方針をばらばらに策定すると全社の一貫性が失われ、全社適用という前提に反する。部門固有の事情は下位規程で補う。
ここがポイント
- 情報セキュリティ方針 (基本方針) は ISMS の最上位文書で、トップマネジメントが確立・承認し全社へ周知する。
- 方針 (理念・目的) → 対策基準 → 実施手順 という階層構造があり、具体的な設定ルールは方針ではなく下位の基準・手順で定める。
用語