平成26年度 秋期 ITパスポート試験 問61
テクノロジ／セキュリティ組織で策定する情報セキュリティポリシに関する記述のうち，最も適切なものはどれか。
出典：平成26年度 秋期 ITパスポート試験 問61
- ア情報セキュリティ基本方針だけでなく，情報セキュリティに関する規則や手順の策定も経営者が行うべきである。
- イ情報セキュリティ基本方針だけでなく，情報セキュリティに関する規則や手順も社外に公開することが求められている。
- ウ情報セキュリティに関する規則や手順は組織の状況にあったものにすべきであるが，最上位の情報セキュリティ基本方針は業界標準の雛形をそのまま採用することが求められている。
- エ組織内の複数の部門で異なる情報セキュリティ対策を実施する場合でも，情報セキュリティ基本方針は組織全体で統一させるべきである。
正解：エ
解説
情報セキュリティポリシは，組織の最上位にある基本方針と，それに基づく規則や手順（対策基準・実施手順）で構成されます。基本方針は組織全体の方針として統一する必要があり，部門ごとに対策が異なる場合でも，基本方針までは分けません。
選択肢ごとの解説
- ア誤り。基本方針は経営者が決めますが，具体的な規則や手順は，現場の実情に詳しい担当部門などが基本方針に沿って策定するのが一般的です。
- イ誤り。規則や手順には社外に知られると危険な情報も含まれるため，公開は求められていません（公開が想定されるのは基本方針などです）。
- ウ誤り。基本方針も自組織の事業や状況に合ったものにすべきで，業界標準の雛形をそのまま採用することは求められていません。
- エ正しい。部門ごとに具体的な対策が異なっても，最上位の情報セキュリティ基本方針は組織全体で統一させるべきです。