問70
頻出度★★★
ISMS における情報セキュリティ方針の説明として, 適切なものはどれか。
平成30年度 秋期 ITパスポート試験 問70
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 70
错误ア
规定处理个人信息的经营者应当遵守之义务的，是「个人信息保护法」的说明，与 ISMS 的信息安全方针是两回事。
错误イ
给出为确保信息安全而实施的具体步骤，是「操作手册（对策基准 / 实施步骤）」的职责，并不是作为最上层基本方针的信息安全方针的说明。
- ウ
正解 ISMS 中的「信息安全方针」是由组织的最高管理层制定的最上层文件，用来宣示整个组织对信息安全的意图与态度，并为相关工作指明方向。要点在于：它不是具体的设置值或操作步骤，而是作为基本方针来体现组织的意志。因此，将其表述为「表明组织对信息安全的意图，并为其指明方向」的「ウ」是正确的。
错误エ
规定服务器安全设置值的，是技术层面的「设置基准 / 标准」级别的文件，并不属于表明组织意图与方向的信息安全方针的说明。
ここがポイント
- 信息安全方针是由最高管理层制定、用来表明组织对信息安全的意图与方向的最上层文件（并非具体步骤或设置值）。
- 安全文档由「基本方针（policy）→ 对策基准（standard）→ 实施步骤（procedure）」这样的层级构成，方针位于其最上层。
用語