応用情報技術者 2010年 秋期 午前2 問42
問題文
ISMS 適合性評価制度における情報セキュリティ基本方針に関する記述のうち、適切なものはどれか。
選択肢
ア：重要な基本方針を定めた機密文書であり、社内の関係者以外の目に触れないようにする。
イ：情報セキュリティの基本方針を述べたものであり、 ビジネス環境や技術が変化しても変更してはならない。
ウ：情報セキュリティのための経営陣の方向性及び支持を規定する。（正解）
エ：特定のシステムについてリスク分析を行い、そのセキュリティ対策とシステム運用の詳細を記述する。
ISMS適合性評価制度における情報セキュリティ基本方針【午前2 解説】
要点まとめ
- 結論：情報セキュリティ基本方針は経営陣の方向性と支持を明確に示す文書である。
- 根拠：ISMSでは経営層のコミットメントが情報セキュリティ推進の基盤とされているため、基本方針は経営陣の意思表明が中心となる。
- 差がつくポイント：基本方針は機密文書ではなく全社共有が前提であり、環境変化に応じて見直しが必要である点を理解すること。
正解の理由
ウは「情報セキュリティのための経営陣の方向性及び支持を規定する」とあり、ISMSの基本方針の本質を正確に表しています。経営層の明確な支持がなければ、組織全体の情報セキュリティ活動は効果的に推進できません。基本方針は経営陣のコミットメントを示すものであり、全社に周知されるべき文書です。
よくある誤解
基本方針を「機密文書」と誤解し、社内限定の秘密扱いにするケースがありますが、実際は全社員に周知し理解を促すことが重要です。また、環境変化に応じて見直しが必要であるにもかかわらず、固定的なものと誤解されることもあります。
解法ステップ
- ISMSの基本方針の役割を確認する（経営陣の意思表明であること）。
- 選択肢の内容が経営層の方向性や支持を示しているかを判断する。
- 「機密文書」や「変更不可」などの誤った特徴を含む選択肢を除外する。
- システム単位の詳細なリスク分析や運用記述は基本方針ではなく別文書であることを理解する。
- 最も適切な選択肢を選ぶ。
選択肢別の誤答解説
- ア：基本方針は機密文書ではなく、全社員に周知し理解させることが求められます。
- イ：基本方針は環境や技術の変化に応じて見直しが必要であり、固定的にしてはなりません。
- ウ：正解。経営陣の方向性と支持を示す文書であり、ISMSの根幹です。
- エ：特定システムのリスク分析や詳細な運用は基本方針の範囲外で、別途リスクアセスメントや運用手順書で扱います。
補足コラム
ISMS（情報セキュリティマネジメントシステム）では、経営層のコミットメントが成功の鍵です。基本方針は組織の情報セキュリティに関する最上位の文書であり、全社員に周知されることで組織全体の意識統一を図ります。また、PDCAサイクルに基づき、環境変化に応じて定期的に見直すことが求められます。
FAQ
Q: 情報セキュリティ基本方針は誰が作成するべきですか？
A: 経営陣が主体となり、組織全体の方向性を示すために作成します。
A: 経営陣が主体となり、組織全体の方向性を示すために作成します。
Q: 基本方針はどの程度の頻度で見直す必要がありますか？
A: ビジネス環境や技術の変化に応じて、定期的に見直しを行うことが推奨されます。
A: ビジネス環境や技術の変化に応じて、定期的に見直しを行うことが推奨されます。
関連キーワード: ISMS, 情報セキュリティ基本方針、経営陣のコミットメント、リスクアセスメント、PDCAサイクル
\ せっかくなら /
応用情報技術者を
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！