情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問02

トップマネジメント【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題のキーワード「トップマネジメント」をJIS定義で確認する。
   • JIS Q 27000では「組織を指揮し、管理する人々」とされる。
2. 選択肢を定義に照らして当てはめる。
   • 「複数名で構成されていてもよい」と明確に合致するものを選ぶ。
3. 特定の役職や立場を要求する選択肢（例：代表取締役、情報システム部門長、独立した立場）を排除する。
4. よって エ を正答と判断する。

選択肢別の誤答解説

• ア: 「ISMS適用範囲から独立した立場であることが求められる。」
  → 誤り。トップマネジメントは独立性を要件としていません。組織全体を指揮・管理できる立場であればいいため、適用範囲に含まれる場合もあります。
• イ: 「企業の場合、ISMS適用範囲にかかわらず代表取締役でなければならない。」
  → 誤り。代表取締役がトップマネジメントであることもありますが、JISの定義は役職を限定しません。取締役会や複数の経営幹部がトップマネジメントになることもあります。
• ウ: 「情報システム部門の長でなければならない。」
  → 誤り。情報システム部門の長は重要な実務責任者ですが、トップマネジメントの定義は組織全体の指揮・管理者を指します。部門長に限定されません。
• エ: 「組織を指揮し、管理する人々の集まりとして複数名で構成されていてもよい。」
  → 正しい。JISの定義どおり、トップマネジメントは一人でも複数でもよく、組織を指揮・管理する立場であればよいことを表しています。

よくある誤解

• 「トップマネジメント＝代表取締役」と思い込む
  → 代表取締役がトップマネジメントになる場合は多いですが、JIS定義は役職を限定しません。取締役会や経営チームも該当します。
• トップマネジメントが全ての作業を行うべきと考える
  → トップマネジメントは方針策定や資源配分、責任の明確化を行います。実務は委任できますが、最終的な責任は維持されます（責任の所在は変わらない）。
• ISMSの範囲に入っていないとトップマネジメントは無関係と思う
  → トップマネジメントは方針決定やサポートを行う役割が重要です。適用範囲の内外を問わず関与や責任が問われる場合があります。

補足コラム

FAQ