情報セキュリティマネジメント 2017年 春期 午前（科目A） 問11

ISMSの従業員認識事項【情報セキュリティマネジメント解説】

正解の理由

1. ISMS の有効性に対する自らの貢献、
2. ISMS 要求事項に適合しないことの意味、
3. 情報セキュリティ方針（情報セキュリティポリシー）。

解法ステップ

1. 問題文にある「組織の管理下で働く人々が認識をもたなければならない」というフレーズを見つける。
2. JIS Q 27001 / ISO 27001 の「認識（Awareness）」の内容を思い出す：自分の貢献、非適合の意味、方針。
3. 選択肢を照らし合わせ、該当するものを選ぶ。方針があればそれが正解。
4. 他の選択肢は、監査結果や計画書など別の目的の文書であり「認識すべき方針」そのものではないと判断する。

選択肢別の誤答解説

• ア: 情報セキュリティ適用宣言書（Statement of Applicability：SoA）
  情報セキュリティ適用宣言書は、リスク対応（どの管理策を適用するか）を文書化したものです。何を適用するかの一覧・根拠を示すもので、従業員が「認識すべき方針」として規格で列挙されている主題ではありません。よって誤り。
• イ: 情報セキュリティ内部監査結果
  内部監査結果は監査活動の成果（問題点や改善点）を示す報告であり、認識すべき「方針」そのものではありません。監査はISMSの評価・改善のための手段で、認識事項とは別次元です。
• ウ: 情報セキュリティ方針
  方針は組織の情報セキュリティに関する基本的な方針表明です。規格は従業員がこの方針を知り、方針に沿った行動をすることを求めています。したがって正解。
• エ: 情報セキュリティリスク対応計画
  リスク対応計画は、特定されたリスクに対してどのように対応するかを示す計画書です。重要だが「従業員が必ず認識すべき事項」として規格が列挙するものではありません（必要な担当者に通知・周知することは通常あるが、問題の問われ方とは異なる）。

よくある誤解

1. 「内部監査の結果も認識事項だ」と考える誤解
   内部監査結果は重要な情報だが、規格が明示する“認識”の三要素（方針・自らの貢献・非適合の意味）とは別です。監査は評価・改善のための活動です。
2. 「方針はトップが決めるだけで従業員が知る必要はない」と考える誤解
   方針はトップの意思表明ですが、実際に効果を出すには従業員が方針を理解し日々の行動に反映することが不可欠です。規格もそこを要求しています。

補足コラム

• 新入社員研修やeラーニングで方針の意義を説明する。
• 社内イントラや掲示で簡潔な方針を常時参照できるようにする。
• 重要な変更時はメール周知と理解確認（サインやe-learningの到達確認）を行う。
  こうすることで「方針を知っている」だけでなく「方針に従って行動できる」レベルの認識が得られます。

• ISMS：Information Security Management System（情報セキュリティマネジメントシステム）。組織が情報を守るための仕組み全体。
• 方針（ポリシー）：組織の情報セキュリティに関する基本的な方針・意志表明。

FAQ