問68
頻出度★★★
全社を適用範囲として ISMS を導入する場合の情報セキュリティ方針に関する記述のうち, 適切なものはどれか。
平成29年度 秋期 ITパスポート試験 問68
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 68
错误ア
即使属于同一行业，各企业所持有的信息资产、业务内容、设想的风险以及经营方针都不相同，因此方针的描述内容会因公司而异。仅仅因为行业相同，内容并不会变得相同。
错误イ
像 PC 设置规则这样具体的、技术性的规定，应由比方针更下层的「对策基准」或「实施规程」来规定。信息安全方针是表明工作理念与目的的上层文件，并不是各项具体设置规则本身。
- ウ
正解 信息安全方针（基本方针）是表明组织如何开展信息安全工作的最高层级文件，在 ISMS 中要求由最高管理层（经营层）主导确立并批准，并向全体员工传达。若以全公司为适用范围，就更需要由经营层负责制定全公司统一的方针。因此，认为「必须由最高管理层来确立」的ウ是恰当的。
错误エ
在以全公司为适用范围的情况下，基本方针应由全公司统一制定。若各部门各自制定单独优化的方针，会使全公司失去一致性，违背全公司适用这一前提。部门特有的情况应由下层规程来补充。
ここがポイント
- 信息安全方针（基本方针）是 ISMS 的最高层级文件，由最高管理层确立并批准，并向全公司传达。
- 存在「方针（理念与目的）→ 对策基准 → 实施规程」这样的层级结构，具体的设置规则不由方针规定，而由下层的基准与规程来规定。
用語