問94
頻出度★★★
ISMS における情報セキュリティ方針に関する記述として, 適切なものはどれか。
令和5年度 ITパスポート試験 問94
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 94
错误ア
针对每种安全产品规定设置值的内容，属于比方针更低层级的「对策基准」或技术标准、设置流程，是具体的实施规则，而非表明组织意图与方向指引的方针本身。
错误イ
规定特定部门个人信息处理流程的内容，属于规定现场具体作业的「实施流程（操作手册）」层级，而且对象仅限于个人信息。它与表明整个组织方向指引的信息安全方针，在层级和范围上都不同。
错误ウ
由本公司与交易伙伴两家公司之间，就信息资产的范围与保护方法达成共识的内容，属于保密协议（NDA）或与交易伙伴之间的约定、合同。它与本组织面向内部表明的信息安全方针是两回事。
- エ
正解 信息安全方针（信息安全基本方针）是 ISMS 策略体系中位于最高层级的文档，是由经营管理层对内对外表明「本组织如何应对信息安全」这一意图、并对整个组织进行方向指引的宣言。其核心在于它表明的是组织的姿态与基本方针，而非具体的设置值或操作流程。因此，将其表述为「表明组织对信息安全的意图并指明其方向的内容」的选项エ是恰当的。
ここがポイント
- 信息安全方针处于 ISMS 策略层级（方针 → 对策基准 → 实施流程）的最高层，是经营管理层表明组织意图与方向指引的宣言文书。
- 本题考查能否区分设置值、操作流程、合同这类具体的、较低层级的文档，与表明整个组织姿态的「方针」。
用語