ITパスポート 2018年 秋期 問70

ISMSにおける情報セキュリティ方針の説明【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワードを探す：「情報セキュリティ方針」「説明として適切」。
2. 「方針（policy）」の意味を確認する：組織の意図・方針とは方向づけや原則を示すもの。
3. 各選択肢と比較する：
   • 法律上の義務（個人情報保護）は方針とは別。
   • 手順や設定値は方針より具体的で下位の文書。
4. 方針に当てはまる説明を選ぶと、ウ が合致する。

選択肢別の誤答解説

• ア: 個人情報を取り扱う事業者が守るべき義務を規定するものである。
  → これは「個人情報保護法」など法令やそれに基づく社内規程の説明に近いです。情報セキュリティ方針は法令遵守を含むことはありますが、方針自体が法的義務を規定するものではありません。
• イ: 情報管理者が情報セキュリティを確保するために実施する具体的な手順を示すものである。
  → これは「手順書（procedure）」や運用マニュアルの説明です。手順書は具体的な作業方法やチェックリストを示しますが、方針はそれらを導く上位の考え方です。
• ウ: 情報セキュリティに対する組織の意図を示し、方向付けをするものである。
  → 正解。方針は経営層の意思表明であり、目標や基本的な考え方（例：リスクを受容する基準、守るべき基本的価値）を定めます。
• エ: 保護すべき情報を管理しているサーバのセキュリティの設定値を規定するものである。
  → これは「設定基準（configuration standard）」や「セキュリティ設定値」の説明です。技術的な設定は方針より詳細で、方針に基づいて定められます。

よくある誤解

1. 「方針＝ルールの細かい指示」
   → 方針は大きな方向や原則です。具体的な作業手順や細かいルールは別の文書に落とし込みます。
2. 「方針は現場が守るためのマニュアルだ」
   → マニュアルは現場向け、方針は経営や組織全体の意図を示します。現場のマニュアルは方針に従って作成します。
3. 「方針はITだけのもの」
   → 情報セキュリティ方針は業務プロセス、紙資料、人の行動などIT以外の範囲も含みます。

補足コラム

• ISO/IEC 27001（国際標準）は情報セキュリティマネジメントの代表的な規格です。この規格でも「情報セキュリティ方針（Information security policy）」の策定とトップマネジメントの承認が求められます。
• 方針に含める典型項目：目的と範囲、トップのコミットメント、守るべき基本原則、役割と責任、継続的改善の姿勢。短く明確に記述することが重要です。
• 方針の例（簡潔な文言）：
  • 「当社は情報資産（情報資産＝価値ある情報やシステムなど）を識別し、適切に保護することを経営の優先事項とする。」
  • 「社内全員が情報セキュリティを遵守し、継続的に改善することを約束する。」

FAQ