問84
頻出度★★★
ISMS における情報セキュリティ方針に関する記述として, 適切なものはどれか。
令和7年度 ITパスポート試験 問84
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 84
不正解ア
情報セキュリティ方針は、組織が情報セキュリティにどう取り組むかを示す高位の宣言であり、具体的な機密事項を記載するものではない。むしろ従業員はもちろん取引先など関係者に広く周知・公表されるべきもので、伝達範囲を社内に限定する必要はない。
- イ
正解 ISMS (情報セキュリティマネジメントシステム) は PDCA サイクルを回し続け、脅威や環境の変化に合わせて改善していく仕組みである。情報セキュリティ方針はその最上位の宣言文書であり、ISO/IEC 27001 でも「ISMS の継続的改善へのコミットメントを含むこと」が求められている。したがって、対策は一度実施したら終わりではなく、継続的に改善するコミットメントを方針に含める必要がある、とするイが適切である。
不正解ウ
情報セキュリティ方針は経営層 (トップマネジメント) が組織全体に対して統一的に定めるものである。部門ごとにバラバラに定めると組織としての一貫性が失われる。部門の特性に応じた具体策は下位の対策基準や手順で調整するものであり、方針自体を部門ごとに定める必要はない。
不正解エ
情報セキュリティ方針はトップダウンで策定・承認されるものであり、経営層 (トップマネジメント) の承認・コミットメントが前提である。各職場の管理者が承認するボトムアップ前提という記述は誤りで、経営層の関与なしには組織全体への実効性を持たない。
ここがポイント
- 情報セキュリティ方針は経営層がトップダウンで組織全体に統一的に定める最上位文書であり、関係者へ広く周知・公表する。
- ISMS は PDCA による継続的改善 (Continual Improvement) を前提とし、方針には改善へのコミットメントを含める (ISO/IEC 27001)。
用語