問70
頻出度★★★
ISMS における情報セキュリティ方針の説明として, 適切なものはどれか。
平成30年度 秋期 ITパスポート試験 問70
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 70
不正解ア
個人情報を取り扱う事業者が守るべき義務を規定するのは「個人情報保護法」の説明であり、ISMS の情報セキュリティ方針とは別物である。
不正解イ
情報セキュリティを確保するための具体的な手順を示すのは「手順書（対策基準・実施手順）」の役割であり、最上位の基本方針である情報セキュリティ方針の説明ではない。
- ウ
正解 ISMS における「情報セキュリティ方針」は、組織のトップマネジメントが定める最上位の文書で、情報セキュリティに対する組織全体の意図・姿勢を宣言し、取り組みの方向付けを与えるものである。具体的な設定値や手順ではなく、あくまで基本方針として組織の意志を示す点がポイント。したがって「情報セキュリティに対する組織の意図を示し、方向付けをするものである」とする「ウ」が正しい。
不正解エ
サーバのセキュリティ設定値を規定するのは技術的な「設定基準・標準」レベルの文書であり、組織の意図と方向付けを示す情報セキュリティ方針の説明にはあたらない。
ここがポイント
- 情報セキュリティ方針は、トップマネジメントが情報セキュリティに対する組織の意図・方向性を示す最上位文書である（具体的手順や設定値ではない）。
- セキュリティ文書は「基本方針（ポリシー）→対策基準（スタンダード）→実施手順（プロシージャ）」の階層で構成され、方針はその最上位に位置づけられる。
用語