ITパスポート 2025年 問84

ISMSにおける情報セキュリティ方針に関する記述【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文でキーワードを探す：ここでは「情報セキュリティ方針」「ISMS」が重要です。
2. ISMSの目的を思い出す：情報を守るための仕組みを計画→実行→評価→改善すること（継続的改善）。
3. 選択肢とISMSの性質を照らし合わせる：
   • 「一度で終わらない」「トップのコミットメント」「組織全体での適用」などの表現があれば正答に近い。
4. 最もISMSの基本原則（組織的・継続的・トップの支援）に合致する選択肢を選ぶ。

選択肢別の誤答解説

• ア: 「機密事項が記載されているので、伝達する範囲を社内に限定する必要がある。」
  • 誤り。情報セキュリティ方針自体は方針の性質や組織の姿勢を示すもので、社員や関係者に周知することが重要です。方針に機密情報が直接含まれるべきではなく、機密情報の扱い方（分類や取り扱いルール）は別の規程で扱います。方針は必要に応じて外部にも公開されることがあります。
• イ: 正解（理由は上記「正解の理由」を参照）。
• ウ: 「部門の特性に応じて最適化するので、ISMSを適用する組織全体ではなく、部門ごとに定める必要がある。」
  • 誤り。ISMSは組織としての情報セキュリティの方針や管理体系を定めるもので、まずは組織全体の方針を決めます。部門ごとの特有の対策や手順（運用規程）は作成してよいですが、基本方針は組織全体で定めるのが原則です。個別最適（部門ごと）にすると、全体の整合性や相互運用で問題が出ます。
• エ: 「ボトムアップを前提としているので、各職場の管理者によって承認される必要がある。」
  • 誤り。ISMSや情報セキュリティ方針はトップマネジメント（経営層）の支援・承認が必要です。現場の意見は大事ですが、方針の承認権限は経営レベルにあります。方針は上位方針として現場に落とし、現場は具体的な手順で対応します。

よくある誤解

1. 「方針は秘密にしないといけない」
   • 方針そのものは組織のセキュリティ姿勢を示す文書で、社内外に周知されることが望ましいです。秘密にするのは具体的な脆弱性や機密データの一覧などです。
2. 「一度作ればずっと使える」
   • 方針や対策は環境（技術、脅威、業務）変化に合わせて更新する必要があります。これを怠ると実効性が失われます。
3. 「部門ごとの自由裁量が重要」
   • 部門ごとの手順は許容されますが、全体方針と矛盾してはならず、全社で統一した管理が求められます。

補足コラム

• PDCAについて：PDCAは継続的改善の代表的手法で、Plan（計画）、Do（実行）、Check（評価）、Act（改善）のサイクルを回します。ISMSではこれを回してリスク対応を継続的に改善します。
• 標準との関係：ISMSは多くの場合、ISO/IEC 27001（情報セキュリティマネジメントシステムの国際規格）に基づきます。同規格では経営層の関与や継続的改善が明確に求められています。
• 短い方針例（イメージ）：「当社は情報資産を適切に保護するため、経営層の支援のもと、リスク評価に基づき継続的にセキュリティ対策を改善します。」
  • こうした一文に「継続的に改善する意思（コミットメント）」を入れるのがポイントです。

FAQ