ITパスポート 2023年 問94

ISMSにおける情報セキュリティ方針に関する記述【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワードを確認：「ISMS」「情報セキュリティ方針」。
2. 「方針（policy）」が示すものは高レベルの意図・方向付けか、それとも具体的な手順や製品設定かを考える。
3. 各選択肢を「高レベル（方針）／中間（基準）／低レベル（手順・設定）」で分類する。
4. 方針に当てはまるものを選ぶ（高レベルの宣言である選択肢が正しい）。

選択肢別の誤答解説

• ア: 「企業が導入するセキュリティ製品を対象として作成され、セキュリティの設定値を定めたもの」
  • これは製品や機器の具体的な設定値を定めた「設定基準」や「運用手順」に相当します。方針ではなく、運用レベルの文書です。よって誤りです。
• イ: 「個人情報を取り扱う部門を対象として、個人情報取扱い手順を規定したもの」
  • これは個人情報保護に関する「手順書」や「規程（procedure）」です。範囲が限定されており、方針が持つ組織全体の意図・方向付けとは異なります。よって誤りです。
• ウ: 「自社と取引先企業との間で授受する情報資産の範囲と具体的な保護方法について、両社間で合意したもの」
  • これは契約書や情報共有協定（例：NDA＝秘密保持契約、情報共有合意書）に該当します。方針は組織内で示す宣言であり、対外的な合意文書とは目的が違います。よって誤りです。

よくある誤解

1. 方針は詳細な手順や設定値まで書くべきだと思う
   • 実際は方針は高レベルの方向付けです。詳細な設定は「基準」「手順」で定めます。方針は「何のために」「どのように取り組むか」の宣言です。
2. 情報セキュリティ方針はIT部門だけのものだと思う
   • 方針は組織全体のものです。経営層が責任を持ち、全従業員に周知・徹底する必要があります。
3. 方針は作れば終わりだと思う
   • 方針は環境変化や評価結果に応じて見直す（PDCA：Plan-Do-Check-Act）必要があります。

補足コラム

• ISO/IEC 27001（情報セキュリティマネジメントの国際規格）でも、組織は「情報セキュリティ方針」を文書化し、トップマネジメントが承認・周知することが求められています。
• 覚え方：方針＝方向（Why）、基準＝基礎（What）、手順＝方法（How）。試験では「方針＝組織の意図・方向付け」というキーワードを見つければ正解に近づきます。

FAQ