ITパスポート 2018年 春期 問93

ISMSにおける情報セキュリティ方針に関する記述【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題のキーワードを確認：ISMS、情報セキュリティ方針、トップマネジメント。
   • ISMSは「組織的な情報保護の仕組み」を指すと理解する。
2. 規格や運用の常識に照らす：方針は組織全体の最上位文書で、経営層の支持が必要。
3. 各選択肢を「組織の方針として正しいか」「運用上現実的か」で検討し、矛盾を探す。
4. 結論：経営層の確立が必要である点を満たす選択肢を選ぶ（ウ）。

選択肢別の誤答解説

• ア: 企業の現状とは切り離して、目標とする理想形を記述するのがよい。
  → 誤り。方針は理想だけでなく現状やリスク、実行可能性を踏まえて設定する必要があります。現実に合わない理想だけでは実行や継続が困難です。
• イ: 周知は情報セキュリティ担当者だけに限定するのがよい。
  → 誤り。方針は全社員が理解・遵守すべきものです。担当者だけでなく、全従業員や関係先に周知・教育することが求められます。
• ウ: トップマネジメントが確立しなければならない。
  → 正しい。トップマネジメントの承認と関与が方針の信頼性と実行力を支えます。ISO規格もこれを要求しています。
• エ: 適用範囲が企業全体であっても、部門単位で制定するのがよい。
  → 誤り。適用範囲が企業全体なら、方針は組織全体で制定・承認されるべきです。部門ごとの細かいルール（手順）は作れますが、方針自体はトップが示すのが基本です。

よくある誤解

• 「方針は現場の細かいルールまで書くもの」
  → 方針は大枠の方針や目的を示す文書です。実際の手順や運用の細かいルールは手順書や基準で定めます。
• 「トップマネジメントは署名だけすればよい」
  → 単なる署名だけでは不十分です。方針の策定、資源配分、レビュー、コミットメント（約束）の表明など、積極的な関与が必要です。

補足コラム

• ISMS（Information Security Management System）：情報を守るための組織的な仕組み全体のこと。
• トップマネジメント：会社で意思決定する経営層（社長、役員など）。
• ISO/IEC 27001：情報セキュリティ管理の国際規格。

FAQ