ITパスポート 2015年 春期 問47

情報セキュリティ基本方針、又は情報セキュリティ基本方針と情報セキュリティ対策基準で構成されており、企業や組織の情報セキュリティに関する取組みを包括的に規定した文書として、最も適切なものはどれか。【ITパスポート 解説】

正解の理由

• 情報セキュリティポリシー（information security policy：組織が守るべき基本方針）は、会社全体の考え方や責任範囲、守るべきルールの大枠を定めます。問題文で言う「情報セキュリティ基本方針」や「対策基準」をまとめる文書はまさにこのポリシーです。
• 他の選択肢は「システム」「手法」「評価」を表す用語で、文書そのものとして組織の包括的方針を示す語ではありません。

解法ステップ

1. 問題文のキーワードを確認： 「基本方針」「対策基準」「包括的に規定した文書」。
2. 各選択肢が何を指すかを短く当てはめる：
   • ポリシー＝方針やルールを文書化するもの。
   • マネジメントシステム＝運用や仕組み（システム）。
   • ソーシャルエンジニアリング＝人を騙す攻撃手法。
   • リスクアセスメント＝危険を評価するプロセス。
3. 「文書として包括的に規定する」役割に最も合うものを選ぶ。 → 方針をまとめる「ポリシー」が適合。
4. よって ア を選ぶ。

選択肢別の誤答解説

• 正答。組織全体の方針や基準を文書化する用語です。基本方針と対策基準の双方を含めて定めることが多いです。

• マネジメントシステムは「仕組み」や「運用方法」を指します。例えば誰がリスク評価を行うか、改善の流れ（PDCA）の仕組みなどです。文書そのもの（ポリシー）とは役割が異なります。ISMSはポリシーを含む広い枠組みですが、設問は「文書として包括的に規定したもの」を問うため不適切です。

• 攻撃の種類であり、方針や文書の名称ではありません。対策の対象であって、文書そのものに該当しません。

• リスクを洗い出し評価するプロセスの名称です。評価結果は文書化されますが、設問の「基本方針や対策基準で構成される包括的な文書」とは役割が違います。

よくある誤解

• 「ISMS（アイエスエムエス）＝文書だ」と考える誤解：ISMSは運用の仕組みや管理手順全体を指します。ポリシーはISMSの一部で、ISMSはポリシーを実行するための体制です。
• 「リスクアセスメントがあればポリシーは不要」と考える誤解：リスク評価は重要ですが、評価結果をどう扱うかを示すのがポリシーです。方針がなければ評価の扱いがバラバラになります。

補足コラム

• ポリシーと基準の違い：ポリシー（policy）は「何を守るか」「責任は誰か」といった高いレベルの方針です。対して対策基準（standard／baseline）は「パスワードは何文字以上」「USBの扱い」など具体的なルールや手順を示します。会社ではポリシー→基準→手順（手順書）の順で詳細化していきます。
• ISO/IEC 27001（ISO27001）は国際規格で、ISMSの構築と運用に関する要求事項を示します。多くの組織はポリシーを起点にISMSを作ります。

FAQ