問62
頻出度★★★
ISMS に関するトップマネジメントの考え方や基本原理を示す公式な文書はどれか。
平成29年度 春期 ITパスポート試験 問62
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 62
不正解ア
情報セキュリティ監査基準は、情報セキュリティ対策が適切に実施・運用されているかを第三者が監査・評価するときの判断のよりどころとなる基準。トップマネジメントの考え方や基本原理そのものを示す文書ではないので誤り。
不正解イ
情報セキュリティ実施手順は、対策基準を実務でどう具体的に行うかを定めた最下位層の手順書。日々の作業レベルの詳細を規定するものであり、経営陣の基本方針を示す文書ではないので誤り。
不正解ウ
情報セキュリティ対策基準は、方針を実現するために「何を守り、どう対策するか」の具体的なルールを定めた中間層の文書。方針を受けて作られる規程であって、トップマネジメントの基本原理を示す最上位文書ではないので誤り。
- エ
正解 正解は「エ 情報セキュリティ方針」。情報セキュリティ方針とは、組織のトップマネジメント (経営陣) が情報セキュリティにどう取り組むか、その考え方・目的・基本原理を組織全体に対外的にも示す最上位の公式文書。ISMS (情報セキュリティマネジメントシステム) の文書は上から「基本方針 (情報セキュリティ方針) → 対策基準 → 実施手順」の階層で構成され、方針はその頂点に位置し、以降の対策基準や手順すべての拠りどころとなる。したがって、トップマネジメントの考え方や基本原理を示す文書は「情報セキュリティ方針」であり、エが正しい。
ここがポイント
- ISMS の文書階層は「情報セキュリティ方針 (基本方針) → 対策基準 → 実施手順」の順で、方針が最上位でトップマネジメントの考え方・基本原理を示す。
- 「方針=基本原理」「対策基準=具体的ルール」「実施手順=作業レベル」「監査基準=評価のよりどころ」と役割を区別して覚える。
用語