令和5年度 ITパスポート試験 問94

解説

情報セキュリティ方針は，ISMS において，情報セキュリティに対する組織の基本的な考え方や意図を示し，組織全体の方向性を決めたものです。個別の製品の設定値や，特定部門の手順，取引先との合意事項といった個別・具体的な内容を定めたものではなく，それらはこの方針に基づいて，下位の規定や契約として定められます。

下線の用語は 用語集 で意味を確認できます。

選択肢ごとの解説

• ア誤り。製品の設定値を定めたものは，方針ではなく個別の実施手順（設定基準）にあたります。
• イ誤り。特定部門の個人情報取扱い手順は，方針に基づく下位の規定です。方針は組織全体を対象にします。
• ウ誤り。取引先との間で情報資産の範囲や保護方法を合意するのは，秘密保持契約（NDA）などの契約です。
• エ正しい。組織としての情報セキュリティに対する意図を示し，方向付けしたものが情報セキュリティ方針です。