ITパスポート 2016年 春期 問73

情報セキュリティ方針の周知範囲【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワードを確認する
   • 「情報セキュリティマネジメントシステム（ISMS）」と「情報セキュリティ方針」が対象。
2. 方針の目的を考える
   • 方針は組織全体の行動指針であり、情報の取り扱いを統一するためのもの。
3. 選択肢を比較して範囲の広さで判断する
   • 方針は限定された人（例：管理者だけ）に知らせるものではないため、最も広い範囲を選ぶ。
4. 最終判断
   • 組織内全員と、業務に関わる外部関係者まで含めた ウ を選ぶ。

選択肢別の誤答解説

• ア: 機密情報を扱う部署の従業員
  • 部署限定では不十分です。方針は機密を扱わない部署でも情報の取り扱い方や報告手順を知る必要があります。
• イ: 経営者
  • 経営者だけに周知しても、現場での具体的な運用が行われません。方針は現場レベルまで浸透させる必要があります。
• エ: セキュリティ管理者
  • 管理者のみの周知だと実務担当者や外部委託先が守るべきルールを知らず、リスクが残ります。
• ウ: 全ての従業員及び関連する外部関係者
  • 方針の目的に照らして最も適切です。社内外の関係者全員が方針を理解し、役割を果たす必要があります。

よくある誤解

1. 「セキュリティは専門部署だけの仕事」
   • 実際には誰もが情報を扱うため、全員の理解と協力が必要です。専門部署は方針の運用支援と監督が主な役割です。
2. 「外部関係者に細かく伝える必要はない」
   • 外注先や取引先が関与する業務で情報漏えいが起きると組織に影響が出ます。契約や研修で方針の重要点を共有する必要があります。
3. 「周知は一度で良い」
   • 方針は改訂や環境変化に応じて更新されます。定期的な周知と確認が重要です。

補足コラム

• ISMS（情報セキュリティマネジメントシステム）の国際規格として ISO/IEC 27001 があります。これは組織が方針を定め、実行し、評価・改善する仕組みを整えることを求めます。方針の周知はこの「実行」と「評価」の前提です。
• 周知方法の例：社内メール、イントラネット、対面研修、外部業者向けの説明会や契約書への明記。重要なのは「伝える」だけでなく「理解しているか確認する」こと（理解度テストや署名など）。

FAQ