平成21年度 春期 応用情報技術者試験 午前 問40
テクノロジ／セキュリティISMS適合性評価制度における情報セキュリティ基本方針に関する記述のうち，適切なものはどれか。
出典：平成21年度 春期 応用情報技術者試験 午前 問40
- ア重要な基本方針を定めた機密文書であり，社内の関係者以外の目に触れないようにする。
- イ情報セキュリティのための経営陣の方向性及び支持を規定する。
- ウセキュリティの基本方針を述べたものであり，ビジネス環境や技術が変化しても変更してはならない。
- エ特定のシステムについてリスク分析を行い，そのセキュリティ対策とシステム運用の詳細を記述したものである。
正解：イ
解説
情報セキュリティ基本方針（情報セキュリティポリシーの最上位文書）は，組織の情報セキュリティに対する経営陣の姿勢・方向性・関与を示し，全社的な取組みの拠り所となる文書です。公開して周知することが一般的で，ビジネス環境の変化に応じて見直されるべきものです。
選択肢ごとの解説
- ア誤り。基本方針は組織全体に周知されるべきものであり，関係者以外に触れさせない機密文書とすることは適切ではありません。
- イ正しい。情報セキュリティ基本方針は，情報セキュリティに対する経営陣の方向性及び支持を規定するものです。
- ウ誤り。基本方針はビジネス環境や技術の変化に応じて適宜見直されるべきものであり，変更してはならないというのは誤りです。
- エ誤り。特定システムのリスク分析やセキュリティ対策の詳細を記述するのは，基本方針ではなく個別のセキュリティ対策基準・実施手順です。