平成24年度 春期 エンベデッドシステムスペシャリスト試験 午前Ⅱ 問19

解説

ISMS適合性評価制度における情報セキュリティ基本方針（情報セキュリティポリシの最上位に位置する文書）は，組織のトップマネジメント（経営陣）が情報セキュリティに取り組む方向性を示し，その活動を支持することを内外に表明するものです。個別のリスク分析結果やシステムごとの詳細な対策は，基本方針の下位に位置する対策基準・実施手順で定められます。

選択肢ごとの解説

• ア誤り。情報セキュリティ基本方針は，経営陣の方針を組織内外に示すものであり，社内の関係者以外の目に触れないようにする機密文書ではありません。むしろ対外的に公表されることも多い文書です。
• イ誤り。基本方針は組織の情報セキュリティに対する基本的な考え方を示すものですが，ビジネス環境や技術の変化に応じて，必要があれば見直し・改定が行われるべきものであり，変更してはならないという性質のものではありません。
• ウ正しい。情報セキュリティ基本方針は，情報セキュリティに関する経営陣の方向性及び取組みへの支持を規定するものです。
• エ誤り。特定のシステムについてリスク分析を行い，セキュリティ対策とシステム運用の詳細を記述するのは，基本方針よりも下位の，個別の対策基準や実施手順のレベルの文書の役割です。