問96
頻出度★★★
情報セキュリティ方針に関する記述として, 適切なものはどれか。
令和3年度 ITパスポート試験 問96
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 96
不正解ア
情報セキュリティ方針は一度定めたら固定するものではなく、事業環境・脅威・法令の変化に応じて定期的に見直し、改善していく（PDCAによる継続的改善）ことが求められます。「運用が定着するまで変更してはいけない」とするのは誤りです。
不正解イ
方針は実現可能で具体的な取り組みの基礎となるべきもので、単なる到達不能な「理想像」を掲げるものではありません。自社の実態に基づく実効性が重要であり、理想像の記載を目的とする記述は方針の性格として不適切です。
不正解ウ
基本方針は、経営層のセキュリティに対する姿勢を社内外の関係者に宣言する文書であり、一般には公表（例: 自社サイトでの開示）されます。全体を社外非公開として秘匿するのは適切ではありません（詳細な対策基準や実施手順は内部管理とする点と混同しています）。
- エ
正解 情報セキュリティ方針（基本方針）は、どの企業にも通用する汎用テンプレートではなく、その組織の実態に即して策定するものです。エは「自社の事業内容、組織の特性、所有する情報資産の特徴を考慮して策定する」と述べており、まさにこの原則どおりです。守るべき情報資産や直面するリスクは業種・規模・組織文化によって異なるため、自社の実情を踏まえて初めて実効性のある方針となります。よってエが適切です。
ここがポイント
- 情報セキュリティ方針（基本方針）は、自社の事業内容・組織特性・情報資産の実態を考慮して個別に策定する。
- 方針は継続的に見直し（PDCA）、経営層の姿勢として対外的に公表するのが基本であり、秘匿・固定するものではない。
用語