問84
頻出度★★★
ISMS における情報セキュリティ方針に関する記述として, 適切なものはどれか。
令和7年度 ITパスポート試験 問84
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 84
错误ア
信息安全方针是表明组织如何应对信息安全的高层级声明，并不记载具体的机密事项。相反，它应当向员工乃至业务伙伴等相关方广泛传达与公开，没有必要将传达范围限定在公司内部。
- イ
正解 ISMS（信息安全管理体系）是一种不断运转 PDCA 循环、根据威胁与环境变化持续改进的机制。信息安全方针是其最高层级的声明文件，ISO/IEC 27001 也要求其中「包含对 ISMS 持续改进的承诺」。因此，安全措施并非实施一次就结束，而需要在方针中包含持续改进的承诺，故选项 イ 恰当。
错误ウ
信息安全方针是由经营层（最高管理者）面向整个组织统一制定的。若各部门各自分别制定，组织作为整体的一致性就会丧失。根据部门特性的具体做法应在下位的对策基准与操作流程中调整，方针本身没有必要按部门分别制定。
错误エ
信息安全方针是自上而下制定并批准的，以经营层（最高管理者）的批准与承诺为前提。称其以自下而上为前提、由各工作场所的管理者批准的说法是错误的；没有经营层的参与，方针无法对整个组织产生实际效力。
ここがポイント
- 信息安全方针是由经营层自上而下、面向整个组织统一制定的最高层级文件，并向相关方广泛传达与公开。
- ISMS 以基于 PDCA 的持续改进（Continual Improvement）为前提，方针中需包含对改进的承诺（ISO/IEC 27001）。
用語