平成30年度 春期 ITパスポート試験 問93
テクノロジ／セキュリティISMSにおける情報セキュリティ方針に関する記述として，適切なものはどれか。
出典：平成30年度 春期 ITパスポート試験 問93
- ア企業の現状とは切り離して，目標とする理想形を記述するのがよい。
- イ周知は情報セキュリティ担当者だけに限定するのがよい。
- ウトップマネジメントが確立しなければならない。
- エ適用範囲が企業全体であっても，部門単位で制定するのがよい。
正解：ウ
解説
ISMS（JIS Q 27001）では，組織のトップマネジメント（経営層）が情報セキュリティ方針を確立することが求められています。方針は組織全体の方向性を示すものなので，組織の現状に即した内容とし，組織内の全員と，必要に応じて関係者にも周知し，適用範囲に対して一貫したものとして定めます。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- ア誤り。方針は組織の目的や現状を踏まえて定めるもので，現状と切り離した理想形だけを書くものではありません。
- イ誤り。方針は担当者だけでなく，組織内の全員に周知する必要があります。
- ウ正しい。情報セキュリティ方針は，トップマネジメントが確立します。
- エ誤り。適用範囲が企業全体であるなら，方針も部門単位ではなく，企業全体で一貫したものとして定めます。