情報セキュリティマネジメント 2017年 春期 午前（科目A） 問01

リーダーシップとコミットメント【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文のキーワード「リーダーシップ及びコミットメント」を確認する。JIS Q 27001 の第5章（Leadership）が該当する箇所であると把握する。
2. 規格が求める具体的行為（方針の策定、方針の周知、資源の確保、役割の明確化、ISMSを組織のプロセスに統合すること、人々を指揮・支援することなど）を思い出す。
3. 選択肢を規格の要求と照らし合わせ、該当する表現を選ぶ。
   • 規格は「統合・周知・支援・資源提供」などを求めるため、これに合致する文が正解になる。
   • 「分けて運営する」や単なる「方針に従う」は規格の主旨と異なるため除外する。

選択肢別の誤答解説

• ア（正解）
  アは、トップが組織内の人々に対して方向性を示し、実行を支援することを明確に述べています。これはJIS Q 27001の「リーダーシップ及びコミットメント」の核心要素に一致します。
• イ（誤）
  「ISMSを組織の他のプロセスと分けて運営する。」は逆の考えです。規格はISMSを他の業務プロセスと統合（integrate）することを求めます。ISMSを孤立させると業務と乖離し、実効性が落ちます。
• ウ（誤）
  「情報セキュリティ方針に従う。」は重要ですが、これは組織のメンバー全体に求められる行為です。トップマネジメントの「リーダーシップを実証する」具体的行為としては、方針を策定・承認し周知し、方針に従わせるための環境を整えること（指示・支援・資源確保など）が求められます。単に「従う」だけではリーダーシップの示し方として不十分です。
• エ（誤）
  「情報セキュリティリスク対応計画を策定する。」はリスクマネジメントの重要な活動ですが、規格でトップのリーダーシップを示すために明示された代表的表現とは異なります。トップはリスク対応の実施を保証し資源を与える責任を負いますが、具体的な計画の作成は担当に任せることが一般的であり、選択肢の文言は「リーダーシップの示し方」として直接的ではありません。

よくある誤解

• トップがすべての詳細を自ら作成・実行しないとリーダーシップを示したことにならない
  → 実際は「責任を持って方針を示し、必要な資源・権限を与え、関係者を指揮・支援する」ことが求められます。詳細作業は担当者に委任してよいです。
• 「方針に従う」こと＝トップのコミットメントと考える誤り
  → トップの役割は方針の承認や周知、方針に従わせるための仕組みづくりです。単に従うだけではリーダーシップの実証とは言えません。
• ISMSは別枠にしておけば管理しやすい、という誤解
  → 規格はむしろ業務プロセスにISMSを組み込む（統合する）ことを推奨します。分離は運用の実効性を下げます。

補足コラム

• 情報セキュリティ方針に社長の署名を入れて社内外に示す。
• 毎年の経営レビューでISMSの状況を議題に上げ、予算や人員配分を決める。
• インシデント対応の優先度を明確化し、必要な権限や支援体制を整備する。
  こうした行動は、単なる文書上の約束ではなく「組織の運営に組み込む」ことが重要です。

FAQ