平成30年度 秋期 ITパスポート試験 問70
テクノロジ／セキュリティISMS における情報セキュリティ方針の説明として，適切なものはどれか。
出典：平成30年度 秋期 ITパスポート試験 問70
- ア個人情報を取り扱う事業者が守るべき義務を規定するものである。
- イ情報管理者が情報セキュリティを確保するために実施する具体的な手順を示すものである。
- ウ情報セキュリティに対する組織の意図を示し，方向付けをするものである。
- エ保護すべき情報を管理しているサーバのセキュリティの設定値を規定するものである。
正解：ウ
解説
情報セキュリティ方針は，ISMS において組織が情報セキュリティにどう取り組むかという基本的な考え方や意図を，経営層が示すものです。具体的な手順や設定値を定める文書とは別で，組織の方向付けをする位置付けです。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- ア誤り。個人情報を扱う事業者の義務を規定するのは，個人情報保護法です。
- イ誤り。具体的な実施手順を示すのは，情報セキュリティ方針に基づいて作る手順書（実施手順）です。
- ウ正しい。組織の意図を示し，方向付けをするのが情報セキュリティ方針です。
- エ誤り。サーバの設定値を規定するのは，個別の技術基準や設定基準で，方針ではありません。