問93
頻出度★★★
ISMS における情報セキュリティ方針に関する記述として, 適切なものはどれか。
平成30年度 春期 ITパスポート試験 問93
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 93
错误ア
信息安全方针应当结合企业的现状（资产、风险、业务内容），以可执行的形式来制定。如果脱离现状只写理想形态，就无法落实到实际运行中而流于形式，因此不恰当。
错误イ
方针需要周知给组织的全体员工（以及必要时的合作伙伴等相关方），只有当所有人都理解并遵守时才能发挥效果。仅将周知范围限定于信息安全负责人，违背了方针的目的，因此不恰当。
- ウ
正解 在 ISMS（基于 ISO/IEC 27001 的信息安全管理体系）中，信息安全方针是体现组织最高层意志的文件，标准明确规定：确立并批准该方针的责任在于高层管理者（最高管理层）。只有当方针伴随管理层的承诺时，全公司的预算、体制与规则才能切实有效地运行，因此认为「必须由高层管理者来确立」的选项ウ是恰当的。
错误エ
如果适用范围是整个企业，方针也应当作为全公司统一的一份来制定。若以部门为单位各自分散制定，就会失去全公司的一致性、无法进行统一管控，因此不恰当。
ここがポイント
- 信息安全方针是 ISMS 的最高层文件，由高层管理者（最高管理层）负责确立，并承担向全公司周知与维持的责任。
- 方针应结合组织的现状与风险，制定得切实可行，并根据适用范围在全公司范围内统一。
用語