問94
頻出度★★★
ISMS における情報セキュリティ方針に関する記述として, 適切なものはどれか。
令和5年度 ITパスポート試験 問94
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 94
不正解ア
セキュリティ製品ごとに設定値を定めたものは、方針より下位の『対策基準』や技術標準・設定手順に当たる具体的な実装ルールであり、組織の意図・方向付けを示す方針そのものではない。
不正解イ
特定部門の個人情報取扱い手順を規定したものは、現場の作業を定める『実施手順 (手順書)』レベルであり、しかも対象が個人情報に限定される。組織全体の方向付けを示す情報セキュリティ方針とは階層も範囲も異なる。
不正解ウ
自社と取引先の二社間で情報資産の範囲と保護方法を合意したものは、秘密保持契約 (NDA) や取引先との取り決め・契約に当たる。自組織が内部に向けて示す情報セキュリティ方針とは別物。
- エ
正解 情報セキュリティ方針 (情報セキュリティ基本方針) は ISMS におけるポリシー体系の最上位に位置する文書で、経営層が「自組織が情報セキュリティに対してどう取り組むか」という意図を内外に示し、組織全体の方向付けを行う宣言である。具体的な設定値や手順ではなく、組織の姿勢・基本方針を示す点が核心。よって「情報セキュリティに対する組織の意図を示し、方向付けしたもの」と述べたエが適切。
ここがポイント
- 情報セキュリティ方針は ISMS のポリシー階層 (方針 → 対策基準 → 実施手順) の最上位で、経営層が組織の意図と方向付けを示す宣言文である。
- 設定値・手順・契約といった具体的・下位レベルの文書と、組織全体の姿勢を示す『方針』とを区別できるかが問われている。
用語