問93
頻出度★★★
ISMS における情報セキュリティ方針に関する記述として, 適切なものはどれか。
平成30年度 春期 ITパスポート試験 問93
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 93
不正解ア
情報セキュリティ方針は、企業の現状 (資産・リスク・事業内容) を踏まえて実行可能な形で定めるべきものである。現状と切り離した理想形だけを書くと、実際の運用に落とし込めず形骸化するため不適切。
不正解イ
方針は組織の全従業員 (および必要に応じて取引先など関係者) に周知し、全員が理解・遵守してこそ効果をもつ。情報セキュリティ担当者だけに限定して周知するのは、方針の目的に反するため不適切。
- ウ
正解 ISMS (ISO/IEC 27001 に基づく情報セキュリティマネジメントシステム) では、情報セキュリティ方針は組織の最上位の意思を示す文書であり、これを確立・承認する責任はトップマネジメント (経営層) にある、と規格で明確に定められている。方針に経営層のコミットメントが伴ってこそ、全社的な予算・体制・ルールが実効性をもって動くため、「トップマネジメントが確立しなければならない」とする選択肢ウが適切である。
不正解エ
適用範囲が企業全体であれば、方針も企業全体で統一した一つのものとして定めるべきである。部門単位でばらばらに制定すると全社の一貫性が失われ、統制が取れなくなるため不適切。
ここがポイント
- 情報セキュリティ方針は ISMS の最上位文書で、トップマネジメント (経営層) が確立し全社に周知・維持する責任を負う。
- 方針は組織の現状・リスクを踏まえて実行可能に定め、適用範囲に応じて全社で統一する。
用語