問73
頻出度★★★
情報セキュリティマネジメントシステムを構築した企業において, 情報セキュリティ方針を改訂したことを周知する範囲として, 適切なものはどれか。
平成28年度 春期 ITパスポート試験 問73
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 73
错误ア
仅限「处理机密信息的部门的员工」，范围过于狭窄。信息安全方针是适用于整个组织、全体员工的基本方针，并非只针对特定部门；不直接处理机密信息的员工也属于适用对象。
错误イ
「经营管理者」处于批准并表明方针的地位，但只向经营管理者告知，方针在一线仍无法得到遵守。告知对象应是所有实际需要遵守方针的人，仅限于经营管理者是错误的。
- ウ
正解 信息安全方针是组织安全活动的基础，是最根本的基本规则；在 ISMS 中，向「全体员工及相关的外部关系方」进行告知是一项原则。修订方针时若不向相同范围告知，就会有人仍按旧规则行事，从而损害方针的实际有效性。外包商、业务合作方等外部关系方也属于方针的适用对象，因此正确答案是「ウ」。
错误エ
「安全管理员」负责方针的运行与管理，但只向管理员告知，方针无法遍及整个组织。方针需要广泛传达给全体员工以及外部关系方，此范围过于狭窄，因此不恰当。
ここがポイント
- 信息安全方针是整个组织的基本规则；向全体员工以及外包商、业务合作方等相关的外部关系方进行告知，是 ISMS 的原则。
- 不仅在新制定方针时，在修订方针时同样要向全体员工及相关外部关系方告知，不得将告知范围限定于一部分人。
用語