問62
頻出度★★★
ISMSの情報セキュリティ方針に関する記述として, 適切なものはどれか。
平成27年度 秋期 ITパスポート試験 問62
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 62
- ア
正解 信息安全方针（基本方针）是表明组织如何应对信息安全的最高层意愿声明，在 ISMS 中要求由统领组织的最高管理层（经营层）来确立，并加以批准、支持。由管理层对方针负责，才能确保其作为全公司范围举措的正当性与实效性。因此选项ア「信息安全方针必须由最高管理层来确立」是恰当的。
错误イ
信息安全方针中的基本方针，是为了向业务伙伴、客户和社会表明本组织的态度，因此反而通常会对外公开。「不得对外公开」是错误的（这是把它与详细的对策标准、实施步骤应当保密这一点混淆了）。
错误ウ
信息安全方针应当根据业务环境、威胁、法律法规的变化定期评审，并按需修订（借助 PDCA 持续改进）。「一旦制定就不能变更」是错误的。
错误エ
信息安全方针无论所处理信息的种类如何，都需要向全体员工周知并使其遵守。即使是不处理个人信息或机密信息的员工也在对象范围内，「可以不周知」是错误的。
ここがポイント
- 信息安全方针（基本方针）是由最高管理层（经营层）确立并批准的、组织最高层的意愿声明。
- 作为基本方针，方针也可能对外公开；应随环境变化进行评审（PDCA），并向全体员工周知并使其遵守。
用語