情報セキュリティマネジメント 2016年 春期 午前（科目A） 問06

情報セキュリティ方針【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文が「JIS Q 27001 に基づく」ことを確認する（＝ISMS の要求に従う問題）。
2. 規格の「情報セキュリティ方針」に関する要求を思い出す：策定、周知、利用可能性、レビューなど。
3. 各選択肢を規格の要求と照らし合わせる。
   • 周知・通知を示す選択肢は規格に合致する → イ を選ぶ。
   • それ以外は方針の目的や責任分担、変更管理と矛盾する点を探して除外する。

選択肢別の誤答解説

• ア: 機密情報として厳格な管理を行う。
  誤り。方針そのものは組織のルールや方針（トップの方針）であり、必要に応じて従業員や外部関係者に示すべきものです。方針全文を機密扱いにして関係者へ示さないのは規格の趣旨に反します。なお、具体的な機密情報の取扱いや分類は方針に基づく別の規程で扱います。
• イ: 従業員及び関連する外部関係者に通知する。
  正しい。方針は組織内外の関係者に周知・利用可能にすることが求められます（例：社内イントラへの掲載、教育、契約での明示など）。
• ウ: 情報セキュリティ担当者各人が作成する。
  誤り。方針は経営層が主導して策定・承認するべきトップダウンの文書です。担当者はドラフト作成や運用方法の提案はしますが、最終的な方針決定は経営層の責任です。
• エ: 制定後はレビューできないので、見直しの必要がない内容で作成する。
  誤り。規格は継続的改善を求めます。方針は定期的または必要時にレビュー・改訂されるべきで、「見直し不要」で作るのは適切でありません。

よくある誤解

• 方針は「社外に出してはいけない秘密文書」だと思う。
  → 誤りです。方針自体は組織の原則を示すもので、関係者に周知することが必要です。細かな運用手順や機密情報は別の文書で制御します。
• 「担当者が各自で作れば良い」と考える。
  → 方針は組織の統一的な指針です。担当者がバラバラに作ると統一されたルールになりません。経営層の承認が必要です。
• 一度作ったら変更してはいけないと思う。
  → 状況変化（業務、技術、法令など）に応じて見直す必要があります。定期的なレビューが重要です。

補足コラム

• 社内イントラネットに方針文書を掲載し、最新版へ簡単にアクセスできるようにする。
• 新入社員教育で方針の意図と重要点を説明し、遵守を促す。
• 取引先や委託先には契約書で方針順守や情報管理要件の遵守を求め、必要に応じて方針の要旨を示す。
• 方針改訂のたびに周知記録（配布リスト、教育実施履歴、受領確認）を残すと運用が証明しやすくなります。

• 方針は人事の就業規則説明や研修で扱う。外部ベンダーには契約時に方針の要点を案内し、守ってもらう仕組み（NDAや守秘義務条項）を入れるとよいでしょう。

FAQ