ITパスポート 2021年 問96

情報セキュリティ方針に関する記述【ITパスポート 解説】

正解の理由

• 情報セキュリティ方針は一律の型だけで決めるものではなく、組織ごとに守るべき情報やリスクが違います。したがって、事業内容や組織の特性、保有する情報資産の性質を踏まえて策定する必要があります。
• つまり方針は「自社に合った基本方針」でなければ実効性が低く、運用も困難になるため、個別性を重視する点で エ が正解です。

解法ステップ

1. 問題文で「情報セキュリティ方針」の定義を思い出す（経営層の基本方針・方向性を示す文書）。
2. 各選択肢が方針の性質に合っているかを検討する：普遍的なルールか、会社ごとの特徴を踏まえているか、機密扱いすべきか、変えてはいけないか。
3. 「方針は組織に合わせて作る」が基本なので、最もそれを表している選択肢を選ぶ（エ）。
4. 残りの選択肢を、方針の目的や実務から矛盾点を指摘して除外する。

選択肢別の誤答解説

• ア: 「一度定めた内容は、運用が定着するまで変更してはいけない。」
  • 誤りです。方針は環境変化やリスクの変化に応じて見直すべきです。運用定着を理由に変更を禁じるのは柔軟性を欠き、脆弱性を放置する恐れがあります。PDCA（Plan-Do-Check-Act：計画・実行・点検・改善）サイクルに則り、継続的に改善することが重要です。
• イ: 「企業が目指す情報セキュリティの理想像を記載し、その理想像に近づくための活動を促す。」
  • 一部正しい面はあります（方針は方向性や目標を示すことがある）が、これだけでは不十分です。方針は理想だけでなく、自社の事業特性や資産に基づいた実行可能な基準や役割分担も含める必要があるため、選択肢として不完全です。
• ウ: 「企業の情報資産を保護するための重要な事項を記載しているので、社外に非公開として厳重に管理する。」
  • 誤りです。方針の中身は内部で守るべき情報ですが、方針文書自体は従業員に周知することが前提です。また、ステークホルダー（取引先や顧客）向けに方針の存在や概要を公開することが信頼の向上につながる場合もあります。したがって「社外に非公開が常に正しい」とは言えません。

よくある誤解

1. 方針は「細かい手順」だと思う
   • 誤解です。方針は基本方針・方針の方向性を示すもので、具体的な操作手順やルールは「標準（スタンダード）」や「手順書」に委ねます。方針は高い視点での指針です。
2. 一度作ればずっと使えると思う
   • 誤解です。法規制や技術、業務が変われば方針も見直す必要があります。定期的なレビューが必須です。
3. 方針はトップだけの問題だと思う
   • 誤解です。トップの支持は必須ですが、現場の実情を反映させないと実行・運用ができません。現場の意見を取り入れることが重要です。

補足コラム

• 作成主体は「経営層（経営トップ）」が明確にすること。方針はトップのコミットメントを示すため、承認者が明記されます。
• 方針に含めるべき主な項目：目的、適用範囲（どの情報資産や組織に適用するか）、基本的な考え方（機密性・完全性・可用性の重視）、役割分担、見直し頻度。
• 実践の流れ：方針を決める → リスクアセスメント（リスク評価）を行う → 具体的な対策（規程・手順）を作る → 教育・周知 → 定期的に見直す。
• 国際標準（例：ISO/IEC 27001）では「情報セキュリティ方針」はトップマネジメントの支援を示す重要文書と位置付けられ、方針に基づいたリスク管理が求められます。ISOは International Organization for Standardization（国際標準化機構）の略です。

FAQ