ITパスポート 2017年 春期 問62

ISMSに関するトップマネジメントの考え方や基本原理を示す公式な文書はどれか【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワードを確認：「トップマネジメントの考え方や基本原理」「公式な文書」。
2. 各選択肢の意味を一言で整理する。
   • 監査基準：監査（チェック）を行うための基準。
   • 実施手順：具体的な作業手順や手続き。
   • 対策基準：対策の具体的レベルや基準値（例：パスワード長など）。
   • 方針：経営層の考え方・方向性を示す文書。
3. 問題の要求（基本原理や考え方を示す）に最も合うものを選ぶ。
4. 結論：経営の方向性を示す「方針」を選ぶ。つまり エ。

選択肢別の誤答解説

• ア: 情報セキュリティ監査基準
  監査基準は「監査する人」が使うチェック項目や判断基準です。何を確認するかや評価方法が書かれますが、経営層の考え方や基本原理を示す文書ではありません。
• イ: 情報セキュリティ実施手順
  実施手順は現場の作業指示書です。例えば「パスワードを変更する手順」「ログの取得方法」など、実務レベルでのやり方を細かく書きます。方針の「何を目指すか」とは別物です。
• ウ: 情報セキュリティ対策基準
  対策基準は、セキュリティ対策の具体的な基準（例：パスワードは8文字以上、暗号化アルゴリズムはAES-256を使用）を示します。方針ほど抽象的ではなく、実務で守るべき基準です。
• エ: 情報セキュリティ方針
  経営層の意思表明として組織全体の方向性や原則を示します。したがって「トップマネジメントの考え方や基本原理を示す公式な文書」に該当します。

よくある誤解

1. 「方針」と「手順」を混同する
   • 方針は「方角（どちらへ行くか）」、手順は「その道をどう進むか」です。方針は抽象的・上位概念、手順は具体的・下位概念です。
2. 「監査基準が方針の代わりになる」と考える
   • 監査基準はチェック用です。方針がなければ、何を目的に監査するかが曖昧になります。監査は方針に従って組織が適切に運用されているかを確認する役割です。
3. 「対策基準＝方針」と思う
   • 対策基準は実務レベルで守る数値や要件です。方針はそれらを定める背景や優先度を示すもので、どちらも必要ですが役割が異なります。

補足コラム

• 方針に書かれる典型的な項目
  • 情報セキュリティの目的と重要性の宣言
  • 適用範囲（どの組織・部門・情報に適用するか）
  • トップマネジメントの責任表明（経営層のコミットメント）
  • リスクに対する組織の基本的な考え方（受容するリスクの範囲など）
  • 法令・規制、契約上の要求事項への対応方針
  • 見直しの頻度や責任者
• 現場の流れ（上から下への関係）
  1. 方針（トップマネジメントが決める）
  2. 対策基準（どの程度の対策を行うか）
  3. 実施手順（現場での具体的なやり方）
  4. 監査基準（適切に運用されているかを確認）

FAQ